Tar éis athrú IP an fhreastalaí, ainmníonn an riail SNAT an ceann sean fós

Bhog an freastalaí go seoladh nua, nascann na cliaint fós, agus ní shroicheann aon rud a sheolann siad an t-idirlíon. Is é an deighilt sin an leid: mhair an soicéad éisteachta agus an t-ardú calafoirt an aistriú, mar sin éiríonn an tollán, agus an t-aistriú foinse a chuirtear i bhfeidhm ar phaicéid a chuirtear ar aghaidh fós ag ainmniú seoladh nach bhfuil ag an óstach a thuilleadh. Téann freagraí ar na paicéid athscríofa sin chuig meaisín nach bhfuil ann a thuilleadh.

Teipeann nascadh agus cur ar aghaidh in áiteanna éagsúla

Braitheann an bunú ar an bpointe deiridh atá ar eolas ag na cliaint cheana féin: an seoladh poiblí, an t-ardú calafoirt os a chomhair agus an t-éisteoir istigh. Braitheann an trácht curtha ar aghaidh ar an dara cinneadh a dhéantar tar éis don phaicéad dul isteach sa tollán, nuair a athscríobhann an t-óstach a fhoinse ionas go bhfaighidh na freagraí an bealach ar ais.

Ní bhrisíonn athrú seolta ach an dara cinneadh, agus sin an fáth a léitear an tsiomptóm mar "nasctha ach gan idirlíon". Míníonn sé freisin cén fáth a bhfuil cuma shláintiúil ar na seiceálacha is gnách ar thaobh an chliaint: críochnaítear an croitheadh láimhe, faigheann an cliant seoladh, agus féadann fiú ping chuig seoladh tolláin an fhreastalaí freagairt. Caitear uaireanta an chloig ar an gcliant le haghaidh locht a chónaíonn ar an taobh eile, agus sin an fáth gurb é an tábla rialacha an chéad áit le breathnú.

Léigh an riail agus a cuid áiritheoirí sula ndéanann tú eagarthóireacht

Liostaigh na rialacha aistriúcháin lena n-áiritheoirí agus cuir an fhoinse chumraithe i gcomparáid leis na seoltaí atá ag an óstach i ndáiríre. Is gnách go dtaispeánann riail a athscríobhadh chuig seoladh marbh trácht ar an mbealach isteach, mar sroicheann paicéid í agus aistrítear iad, agus faic ar an mbealach ar ais.

sudo iptables -t nat -L POSTROUTING -n -v --line-numbers
ip -4 addr show

Seiceáil trí réimse agus tú ann: an linn sa chomhoiriúnú foinse, an comhéadan amach má ainmníonn an riail ceann, agus an eisiamh a choisceann trácht idir tolláin a athscríobh. Is furasta an t-eisiamh sin a chailleadh le linn eagarthóireachta, agus má chailleann tú é bíonn cuma ar thrácht idir piaraí go n-oibríonn sé agus a fhreagraí ag glacadh cosán aisteach.

Má fhanann na háiritheoirí ag nialas, ní shroicheann paicéid an riail seo riamh agus ní hé an seoladh an fhadhb reatha. Cuardaigh riail iomaíoch níos luaithe sa slabhra, rud a tharlaíonn nuair a chuireann duine athsholáthar leis in ionad an bhunriail a eagrú. Cuir uimhreacha na rialacha i gcomparáid leis an aschur a thug tú faoi deara nóiméad ó shin. Tá ord ina chuid den chumraíocht, ní mionsonra cosmaideach é.

Athsholáthair an fhoinse, nó stop ag ainmniú ceann

Nuair atá seoladh cobhsaí ag an óstach, athsholáthair an riail ina háit in ionad ceann eile a chur leis. Coinníonn athsholáthar de réir uimhir rialach an t-ord a bhfuil an chuid eile den slabhra ag brath air.

sudo iptables -t nat -R POSTROUTING 1 -s 10.8.0.0/24 ! -d 10.8.0.0/24 -j SNAT --to-source 10.151.0.40

Nuair a leithdháiltear an seoladh go dinimiciúil, ná hainmnigh aon fhoinse ar chor ar bith agus lig don eithne an ceann reatha a roghnú ón gcomhéadan amach. Maireann an leagan sin an chéad aistriú eile gan eagarthóireacht, ar chostas a cheilt cén seoladh a úsáideadh.

sudo iptables -t nat -R POSTROUTING 1 -s 10.8.0.0/24 ! -d 10.8.0.0/24 -o eth0 -j MASQUERADE

Deimhnigh go bhfuil cur ar aghaidh IPv4 fós cumasaithe trí chumraíocht bhainistithe, ansin déan an riail buan le meicníocht na dáileachta féin. Tagann athrú a dhéantar sa eithne atá ag rith amháin ar ais leis an gcéad atosú eile, de ghnáth le linn fuinneog cothabhála nach nascann aon duine leis an athrú.

Dhá bhealach chun an t-athsholáthar a dhéanamh mícheart

Cuireann aistriú na linne chuig seoladh tolláin an fhreastalaí in ionad a sheoladh LAN na freagraí díreach ar ais isteach sa tollán, áit a ndéantar iad a ródú chuig cliant nár iarr riamh iad. Stopann an nasc ar bhealach a bhfuil cuma lúb ródaithe air, mar is lúb é.

Is é an dara botún ná dara haistriú a chruachadh os cionn an tsean-cheann. Buaileann an chéad riail a mheaitseálann, mar sin leanann an iontráil sean de phaicéid a láimhseáil go dtí go scriostar í, agus fanann áiritheoirí na rialach nua ag nialas agus an milleán á chur ar an athsholáthar ag gach duine. Scrios an dúblach sula gcuireann tú aon rud nua leis. Ansin léigh an liosta uair amháin eile agus deimhnigh go meaitseálann aistriú amháin go beacht an linn.

Má iompraíonn an tollán IPv6 freisin, déan an t-athbhreithniú iomlán arís ar an stac eile. Teipeann bealach réamhshocraithe IPv6 gan aistriú agus gan réimír ródaithe chomh ciúin céanna, agus is furasta dearmad a dhéanamh air mar tá cuma chomhionann ar gach rud os a chionn.

Teastaíonn an t-aistriú urchomhaireach ó sheirbhísí isteach

Teastaíonn aistriú cinn scríbe, ní aistriú foinse, ó sheirbhís ar chliant VPN a chaithfidh a bheith inrochtana ón taobh amuigh: athscríobhtar an calafort poiblí chuig seoladh tolláin an chliaint sula dtéann sé isteach. Ansin teastaíonn riail shainráite ón gcosán cur ar aghaidh a cheadaíonn an trácht sin.

sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 10.9.8.2:8080

Ná haistrigh riamh an calafort a iompraíonn an tollán féin, mar cuireann an athscríobh sin isteach ar an nasc a choinníonn an tseirbhís inrochtana. Coinnigh calafort an tolláin go hiomlán lasmuigh de na rialacha cinn scríbe. Fíoraigh ón dá cheann ina dhiaidh sin: áiritheoirí ar an riail nua, gabháil ghearr ar an ngléas tolláin agus iarratas amháin chuig seoladh laistigh den tollán sula mbaineann tú triail as an gceann poiblí.