Ar cheart duit SNAT a chur i bhfeidhm ar aistriú calafoirt isteach i bhfo-líonra VPN?

Mainníonn aistriú calafoirt chuig óstach atá taobh thiar de chliant VPN an ródaire féin ar bhealach a bhfuil cuma fhadhb balla dóiteáin air, mar tagann an t-iarratas go soiléir. Déanann an tseirbhís nasc a logáil, fanann an cliant, agus ní thagann aon rud ar ais. Rinne aistriú an chinn scríbe a chuid oibre; is é an paicéad fillte an chuid a chuaigh ar iarraidh. Ceartaíonn aon riail NAT foinseach roghnach ar an ródaire é, agus is é an chuid spéisiúil ná cinneadh a dhéanamh cé chomh cúng agus is féidir an riail sin a bheith.

Cén fáth a dtéann an freagra ar bhóthar eile

Athscríobhann aistriú calafoirt cá bhfuil paicéad ag dul, ní scríobhann sé riamh cá as a dtáinig sé. Fanann seoladh chliant an idirlín sa réimse foinse an bealach ar fad tríd an tollán, mar sin feiceann an tseirbhís chian an strainséir agus freagraíonn sí ar an aon bhealach atá ar eolas aici: trína geata réamhshocraithe féin. Is é an geata sin an t-áiritheoir VPN ar an taobh thall, nach bhfuil aon bhealach air ais chuig seoladh poiblí treallach aige.

Féach ar ghabháil ar chomhéadan an tolláin agus tá an neamhshiméadracht soiléir: paicéid iarratais amach, rud ar bith isteach. Cheadaigh an slabhra aistrithe an sreabhadh agus d'iompair an tollán é, mar sin tarlaíonn an t-éirí amach tar éis don óstach cian bealach ar ais a roghnú cheana féin.

Riail foinseach atá cúng go leor le hiontaoibh

Déan an ródaire mar an fhoinse a bhfreagraíonn an t-óstach cian uirthi. Sa leagan amach seo is é an seoladh WAN 203.0.113.24, is é an LAN 192.168.88.0/24, is é seoladh tolláin an ródaire 172.20.5.1, agus freagraíonn an tseirbhís ar 172.20.5.40:8443. Meaitseálann an riail thíos an paicéad tar éis aistriú an chinn scríbe, agus sin an fáth a luann sí an seoladh aistrithe seachas an ceann poiblí. Níl aon rud inti ag brath ar sheoladh an chliaint, agus sin go beacht an pointe.

iptables -t nat -A POSTROUTING -o tun0 -p tcp -d 172.20.5.40 --dport 8443 -j SNAT --to-source 172.20.5.1

Tá gach meaitseáil sa líne sin ann chun an t-athscríobh a choinneáil áitiúil d'aon tseirbhís amháin ar aon tollán amháin. Bain an comhéadan nó an calafort agus athscríobhann tú níos mó tráchta ná mar a éilíonn an fhadhb, agus sin mar a iompaíonn deisiú dírithe ina rúndiamhair don chéad duine eile.

Cathain is é masc uilíoch an rogha macánta

Má aistríonn an ródaire go leor seirbhísí isteach sa bhfo-líonra VPN céanna, iompaíonn riail in aghaidh na seirbhíse ina liosta nach gcoimeádann aon duine. Tá mascáil gach a bhfágann comhéadan an tolláin níos simplí agus níos intuartha, ar chostas an chliaint bhunaidh a cheilt ar gach óstach ar an taobh thall. Roghnaigh é nuair nach n-úsáidtear na logaí ansin le haghaidh cur i leith; coinnigh an riail chúng nuair a úsáidtear.

Teipeann ar an dá rogha ar bhealaí éagsúla freisin. Bristear aon tseirbhís amháin le riail chúng atá ar iarraidh; is féidir le masc leathan a mheaitseálann an iomarca trácht a bhí ag obair cheana a athscríobh go ciúin, lena n-áirítear naisc amach an ródaire féin.

Seiceáil na háirimhí sula bhfoilsíonn tú

Bíonn cuma chomhionann ar rialacha nach meaitseálann riamh agus ar rialacha a oibríonn go dtí go n-áiríonn tú paicéid. Léigh an tábla ar ais le háirimhí beart sula nascann aon chliant, ansin nasc ó líonra nach é an LAN é agus léigh arís é. Is é dhá léamh a dhéanann buille faoi thuairim a iompú ina fhíric. Ná foilsigh an t-aistriú ach amháin tar éis don dara ceann bogadh.

iptables -t nat -L POSTROUTING -v -n --line-numbers

Ciallaíonn áirimh nialasach ar an riail fhoinseach tar éis naisc fhíor go bhfuil an mheaitseáil mícheart, de ghnáth mar nach n-oireann an ceann scríbe ná an calafort don phaicéad tar éis an aistrithe. Má ardaíonn an t-áirimh ach go bhfuil an cliant fós ag amú ama, tá an bealach ar ais deisithe agus tá rud éigin eile ag scaoileadh an fhreagra, mar sin féach ina dhiaidh sin ar an mbeartas aistrithe ar an taobh thall. Is fadhb ar leith é rochtain ribe gruaige ó thaobh istigh den LAN agus teastaíonn a riail féin uaidh, ní leagan níos leithne de seo.