Foilsigh porta cliaint VPN ó chúl CGNAT: seicliosta

Cuir seirbhís ar ríomhaire glúine taobh thiar de NAT ar leibhéal an iompróra, treoraigh an ríomhaire sin chuig VPS thar VPN, agus ní féidir le haon duine ón taobh amuigh teacht air. Cuireann tú riail NAT cinn scríbe leis ar an VPS agus faigheann tú rud níos measa ná tost: osclaíonn naisc agus ansin stopann siad. Níl an freagra ar iarraidh, tá sé ag imeacht ar bhealach réamhshocraithe an chliaint féin, rud a chiallaíonn nach bhfeiceann an freastalaí riamh é. Oibrigh na cúig sheiceáil seo in ord agus stop ag an gceann is túisce nach bhfuil seasmhach.

Deimhnigh go ndéanfaidh an freastalaí aon seoladh ar aghaidh ar chor ar bith

Ticeáil an bosca seo sula scríobhann tú aon aistriúchán amháin. Glactar le riail DNAT do phaicéad a dhiúltaíonn an t-eithne a sheoladh ar aghaidh, agus ansin déanann conair an tseolta ar aghaidh í a scriosadh, rud a chruthaíonn am éiginnte a fhéachann cosúil le fadhb balla dóiteáin.

sysctl net.ipv4.ip_forward
sysctl -w net.ipv4.ip_forward=1

Ní hionann é a shocrú i eithne atá ag rith agus é a shocrú thar atosú. Scríobh net.ipv4.ip_forward=1 i gcomhad faoi /etc/sysctl.d/, rith sysctl --system, agus ansin léigh an luach ar ais in ionad muinín a bheith agat go ndearnadh an comhad a phiocadh suas. Teastaíonn an luach céanna ó choimeádán a bhainistíonn a spás ainmneacha líonra féin laistigh den spás sin, ní hamháin ar an óstach.

Má tá an t-athlonn léithe fós nialas, stop anseo. Ní oibreoidh aon rud thíos anseo.

Daingnigh seoladh an tolláin sula ndéanann aon riail tagairt dó

Roinneann an linn seoltaí in ord na nasc, mar sin féadann riail a scríobhadh do léas an lae inniu díriú go ciúin ar chliant eile an tseachtain seo chugainn. Ceangail an seoladh le féiniúlacht an teastais seachas le hord na teachta.

client-config-dir /etc/openvpn/ccd
ifconfig-push 10.77.0.14 10.77.0.13

Is é an péire sin deireadh an chliaint agus deireadh an phiarúil de thollán pointe-go-pointe, agus an freastalaí eochairthe ar ghnáthainm an teastais. Faoi thopolaíocht fho-líonra léitear an dara luach mar mhasc líonra ina ionad, mar sin scríobh an fhoirm a thagann leis an topolaíocht atá in úsáid. Ansin athnasc an cliant agus léigh an seoladh ar an gcliant féin, mar ní cruthú é dearcadh an fhreastalaí ar an linn ar an rud a chumraigh an cliant.

Má athraíonn an seoladh tar éis ath-naisc, stop. Teipfidh riail NAT a leanann sprioc atá ag bogadh go corrach agus ní mhúinfidh sé aon rud duit.

Aistrigh sa dá threo

Seolann aistriúchán cinn scríbe an paicéad isteach chuig an gcliant. Is é aistriúchán foinse a chuireann ar an gcliant freagra a thabhairt don fhreastalaí seachas don seoltóir bunaidh, agus sin an riail a fhágann daoine ar lár.

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 29443 -j DNAT --to-destination 10.77.0.14:29443
iptables -t nat -A POSTROUTING -d 10.77.0.14 -p tcp --dport 29443 -j SNAT --to-source 10.77.0.13

Gan an dara riail freagraíonn an cliant trína nasc ISP aníos, mar sin feiceann an piarúil i bhfad i gcéin seoladh foinse nár labhair sé riamh leis, agus ní choinníonn an freastalaí aon iontráil rianaithe don fhreagra. Feiceann an breathnóir ón taobh amuigh croitheadh lámh a chríochnaíonn leathbhealach, agus sin go díreach an siomptóm a chuireann daoine ag lorg fabht balla dóiteáin nach bhfuil ann.

Léigh an dá riail ar ais le iptables -t nat -S agus deimhnigh gurb é ainm an chomhéadain an ceann a iompraíonn an seoladh poiblí. Ar óstach a dhéanann scagadh cheana le nftables, scríobh an t-aistriúchán i slabhra NAT nftables den teaghlach seoltaí comhfhreagrach in ionad uirlisí a mheascadh.

Lig do thábla an scagaire dul tríd

Athscríobhann táblaí NAT ceanntáisc; ní thugann siad cead. Le polasaí DROP réamhshocraithe teastaíonn a ghlacadh féin ón sreabhadh a sheoltar ar aghaidh, móide an treo fillte a chlúdaíonn an chuid is mó de pholasaí cheana le riail established,related.

iptables -A FORWARD -i eth0 -o tun0 -p tcp --dport 29443 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Seiceáil polasaí an tslabhra FORWARD sula gcuireann tú aon rud leis, mar is é ord DROP luath a shocraíonn an gceistítear do riail riamh. Ar óstach a bhfuil a scagadh ina chónaí in nftables, cuir an riail choibhéiseach le crúca forward an tábla inet agus deimhnigh go bhfeiceann an bunslabhra trácht a sheoltar ar aghaidh i ndáiríre agus ní hamháin ionchur áitiúil. Má fhanann cuntar paicéad ar an riail nua ag nialas agus cuntair NAT ag ardú, tá an paicéad á scriosadh roimh do riail. Sin an comhartha chun ord na slabhraí a léamh, ní chun an dara cóip den riail chéanna a chur leis.

Cruthaigh é ó líonra lasmuigh

Tástáil ó líonra nach bhfuil gaolmhar. Féadann probe ó mheaisín eile ar an LAN céanna dul trí thacaíocht hairpin NAT agus ní fheidhmíonn sé riamh an chonair a úsáideann cliant i bhfad i gcéin, mar sin cruthaíonn toradh glas ansin an rud mícheart.

tcpdump -ni any port 29443
conntrack -L | grep 29443

Rith an gabháil ar an bhfreastalaí agus ar an gcliant ag an am céanna. Taispeánann gabháil an fhreastalaí an bhfágann an paicéad aistrithe i dtreo an tolláin; taispeánann gabháil an chliaint an dtagann an t-iarratas agus cá seoltar an freagra. Cruthaíonn iontráil aistriúcháin in conntrack -L gur mheaitseáil an riail, agus cruthaíonn a easpa nár shroich an paicéad slabhra NAT riamh.

Is fianaise lag iad scanóirí port. Tuairiscíonn siad an port mar dhúnta go dtí go bhfuil an feidhmchlár ceangailte agus ag éisteacht, mar sin úsáid fíor-naisc chuig an bhfíor-sheirbhís. Nuair a oibríonn sé faoi dheireadh, coinnigh an nochtadh don aon phort sin: is cinneadh i bhfad níos mó é SSH nó painéal riaracháin a sheoladh ar aghaidh mar gheall gur mhothaigh an chéad riail ait ná seirbhís a fhoilsiú.