Rianaigh idir LANanna príobháideacha sula gcuireann tú NAT eile leis

Dhá bhalla dóiteáin inmheánacha, aon deighleog trasnaithe phríobháideach amháin, agus iarratas chun ligean d’aon óstach nó dhó i ngach LAN labhairt leosan sa LAN eile. Is é an t-athfhillteán ná VPN a chur ar bun nó an dara sraith NAT a chur leis, agus cosnaíonn an dá athfhillteán níos mó ná mar is fiú an fhadhb. Tá ródú nósmhar go leor nuair a choinnítear trí choinníoll: ní forluíonn na raonta seoltaí, féadann an dá thaobh trácht a chur ar ais chuig an LAN eile, agus tá an deighleog trasnaithe iontaofa go leor cheana féin do na sonraí. Seiceáil an triúr sin sula ndéanann tú aon rud a dhearadh, mar athraíonn gach ceann acu an freagra.

Trí choinníoll a chinneann an dearadh

Is é spás seoltaí an chéad choinníoll. Má úsáideann an dá LAN an bloc céanna RFC 1918, ní féidir le ródú iad a idirdhealú agus bíonn an t-aistriúchán dosheachanta seachas roghnach. Is é an dara ceann bealach fillte: tá ród ó A go B gan úsáid mura bhfuil a fhios ag B freisin conas LAN A a shroichint, agus is é an t-eolas neamhshiméadrach an chúis is coitianta go scaoileann dearadh ródaithe freagraí go ciúin.

Is é an tríú ceann muinín. Bogann ródú paicéid; ní chosnaíonn sé iad. Is rud difriúil é deighleog trasnaithe phríobháideach laistigh d’fhoirgneamh amháin ná seachadadh chuig soláthraí nó nasc a thrasnaíonn cnámh droma roinnte campais. Mura bhfuil an deighleog iontaofa, is é an freagra tollán idir an dá bhalla dóiteáin, agus tá an plean ródaithe thíos fós infheidhme istigh ann.

Ní bhuann an dearadh simplí ach amháin nuair a dhíríonn an triúr sa treo céanna. Nuair a theipeann ar cheann acu, sásaigh an coinníoll sin go sainráite in ionad é a cheilt le haistriúchán, mar cheileann NAT an teip in ionad í a réiteach.

Tóg an plean ródaithe ar an líonra trasnaithe

Tabhair seoladh do gach balla dóiteáin ar an deighleog roinnte agus cuir ród shonrach amháin leis do gach LAN i bhfad i gcéin. Ní gá aon rud eile sa chumraíocht reatha a bhogadh, agus go háirithe caithfidh an ród réamhshocraithe idirlín fanacht go beacht san áit a bhfuil sé. Chuirfeadh athsholáthar róid réamhshocraithe leis an mballa dóiteáin piaraí gach ceann scríbe neamhghaolmhar trasna an trasnaithe, rud atá ina athrú i bhfad níos mó ná an ceann a iarrtar. Déanann doiciméadú pfSense ar ródú statach cur síos ar an tsamhail chéanna ród móide geata don ardán sin, agus tá an rialtán comhionann ar fáil ar cibé balla dóiteáin a ritheann tú i ndáiríre.

Freastalaíonn balla dóiteáin A ar 10.30.0.0/24 agus freastalaíonn balla dóiteáin B ar 10.40.0.0/24, agus an dá sheoladh trasnaithe ar 192.0.2.0/24. Coinníonn gach óstach LAN a bhalla dóiteáin áitiúil mar gheata, mar sin is é an t-aon staid nua ród amháin ar gach taobh. Ar bhalla dóiteáin atá bunaithe ar Linux tá an plean céanna le feiceáil mar seo, agus caithfear an t-ardú chun cinn a chumasú nó réiteofar an ród agus an paicéad á scriosadh.

sysctl -w net.ipv4.ip_forward=1
ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1
ip route get 10.40.0.15
traceroute -n 10.40.0.15

Coinnigh an scagadh ar leith ón aistriúchán

Rialtáin dhifriúla is ea ródú agus polasaí, agus is sa dara ceann a theipeann ar an gcuid is mó de na dearaí ródaithe i ndáiríre. Ceadaigh na foinsí, na cinn scríbe agus na seirbhísí sonracha ag an teorainn iontrála a thrasnaíonn na paicéid i ndáiríre, agus cuimhnigh gur ainm é lipéad comhéadain ar nós WAN, ní ráiteas faoi mhuinín. D’fhéadfadh blocáil seoltaí príobháideacha a bheith fós cumasaithe de réir réamhshocraithe ar phort trasnaithe a iompraíonn trácht príobháideach.

Ansin féach ar an aistriúchán amach sula dtagann tú chun críche nach bhfuil aon NAT ag tarlú. Is féidir le rialacha amach uathoibríocha trácht nár ceapadh riamh le haistriú a athscríobh, agus scriosann sé sin na seoladh foinse a theastaíonn ón taobh eile dá pholasaf agus dá logaí féin. Deimhnigh go gcoinníonn na sreafaí roghnaithe a seoltaí bunaidh, agus fág rialacha aistriúcháin idirlín i gcónaí don trácht a dteastaíonn siad uathu fós.

iptables -t nat -S POSTROUTING
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni eth1 -c 5 host 10.40.0.15

Nuair is é NAT an freagra macánta

Tuilleann an t-aistriúchán a áit nuair a fhorluíonn na raonta seoltaí go fírinneach agus nach bhfuil athuimhriú ar fáil, nó nuair a éilíonn polasaí go bhfeicfeadh aon taobh seoladh amháin seachas subhlíonra. Sna cásanna sin is cinneadh deartha é mapáil d’aon ghnó duine-le-duine nó mapáil srianta ag calafoirt a bhfuil iarmhairtí aitheanta aici, ní seachbhóthar.

Is é an iarmhairt ar cheart a rá os ard ná nach féidir leis an taobh eile foinsí aonair a fheiceáil ná a scagadh a thuilleadh. Tagann na logaí le chéile go dtí an seoladh atá ag aistriú, stopann polasaí in aghaidh an óstaigh ag obair, agus iompaíonn fabhtcheartú ina fhiach ar cé an t-óstach inmheánach a raibh sreabhadh aige ag tráth áirithe. Mura bhfuil aon cheann de sin tábhachtach don trácht atá i gceist, tá NAT go maith.

Nuair is é an trasnú féin an bhuille tuisceana mícheart

Má thrasnaíonn an deighleog roinnte soláthraí, fabraic lascaidh roinnte nó aon chonair ina bhféadfadh páirtí eile an trácht a léamh, ní freagra iomlán é ródú amháin. Tugann tollán idir an dá bhalla dóiteáin rúndacht agus fíordheimhniú piaraí duit, agus is é an tábla ród istigh ann an tábla céanna a scríobhfá ar an trasnú.

Cinneadh sin ón gceist muiníne sa chéad roinn, ní ó nós gur níos sábháilte iad VPNanna. Cuireann tollán thar dheighleog atá príobháideach cheana féin costas oibriúcháin agus mód teipe eile leis gan aon ghnóthachan, agus malartaíonn ródú thar dheighleog neamhiontaofa rúndacht ar shimplíocht nach féidir leat a íoc. Scríobh síos cé acu de na trí choinníoll a stiúir an rogha, agus ní bheidh ar an innealtóir seo chugainn é a athphlé.