SNAT, DNAT agus Masquerade: cad a dhéanann gach riail NAT VPN

Cuir gabháil ar an dá thaobh de gheata VPN agus is féidir le sruth amháin ceithre sheoladh éagsúla a thaispeáint. Athscríobhann NAT foinse óna mbíonn cuma ar phacáid teacht; athscríobhann NAT ceann scríbe cá dtéann sé. Ní tríú treo é Masquerade, is riail NAT foinse é a thógann a sheoladh ón gcomhéadan amach seach luach seasta. Ainmnigh cé acu de na trí a bhfuil tú de dhíth air i ndáiríre agus tiocfaidh formhór na dticéad „tá an VPN briste“ chun bheith ina cheist faoin mbealach ar ais.

Cad a athscríobhann gach riail

Athraíonn NAT foinse, a scríobhtar SNAT de ghnáth, seoladh foinse srutha agus é ag fágáil ródair nó geata. Freagraíonn an tseirbhís ghlacach ar an seoladh aistrithe, agus cuireann an bosca aistriúcháin an t-athrú ar ais ag baint úsáide as an staid a choinnigh sé don nasc sin. Ar Linux tá an staid sin ina cónaí i conntrack, agus is é sin an fáth a gclóíonn conntrack -L na tuplanna bunaidh agus freagartha taobh le taobh.

Athraíonn NAT ceann scríbe, DNAT, an ceann scríbe ina ionad. Is féidir pacáid a sheoltar chuig seoladh poiblí ar UDP 51820 a athscríobh chuig freastalaí WireGuard inmheánach ag 10.8.0.2:51820. Sin mar a fhoilsíonn ródair baile nó ualach-áireamhán scamall éisteoir VPN, agus ní deir sé sin faic faoi cad is féidir leis an tollán a iompar ina dhiaidh sin.

Baineann Masquerade le teaghlach SNAT. Ní ainmníonn an riail aon seoladh; úsáideann sí cibé seoladh atá ag an gcomhéadan amach nuair a fhágann an phacáid. Tugann Linux a sprioc féin dó, agus is é an rogha is gnáth ar chomhéadan WAN a fhaigheann a sheoladh ó DHCP nó PPPoE.

Cinnfidh an áit a bhfuil an mapáil ar an teip

Taifead an tupla ag gach teorainn: roimh an tollán, istigh ann agus ar an gcomhéadan poiblí. Tá difríocht dhlisteanach idir gabháil istigh sa tollán agus ceann amuigh, agus rachaidh aon duine a dhéanann comparáid idir an dá rud gan fios a bheith aige cá dtarlaíonn an t-aistriúchán sa tóir ar an óstach mícheart.

Caithfidh trácht fillte dul tríd an ngléas a choinníonn an mhapáil. Má thógann an freagra bealach eile, dara nasc suas, bealach polasaí nó soláthraí nár chuala riamh faoi do raon príobháideach, ní tharlaíonn an t-aistriúchán droim ar ais stuamach riamh agus feiceann an cliant trácht aonbhealaigh. Is annamh a shocraíonn tuilleadh NAT foinse bealach ar ais atá ar iarraidh; féadann sé an tsiontóm a cheilt ar shruth amháin agus an pholasaí seolta a bhriseadh gach áit eile.

Is é an dara botún coitianta a bheith ag súil go gcruthóidh tollán ródhacht. Teastaíonn socrú amach bailí ó chliant príobháideach a théann a phacáid amach ar an idirlíon: bealach réamhshocraithe, geata a aistríonn ar aghaidh agus, de ghnáth, aistriúchán foinse chuig seoladh poiblí. Ní dhéanann criptiú leis féin seoladh príobháideach a bheith sroichte.

Masquerade nó SNAT sainráite

Déan comparáid idir an dá rud de réir a bhfuil siad ag gealladh. Roghnaíonn Masquerade an seoladh amach, daingníonn SNAT sainráite é. Ar gheata a bhfuil seoladh poiblí cobhsaí aige, tugann an daingniú luach amháin atá intuartha do logaí agus do liostaí ceada na gcomhpháirtithe. Ar nasc WAN dinimiciúil éiríonn seoladh SNAT daingnithe mícheart an nóiméad a athraíonn an léas, agus is é sin go beacht an cás ar tógadh Masquerade dó.

Tá an scóip chomh tábhachtach leis an rogha. Riail Masquerade a mheaitseálann gach pacáid a fhágann an geata, gan teorainn foinse nó ceann scríbe, aistríonn sí trácht freisin a raibh tú ag iarraidh a choinneáil slán, lena n-áirítear trácht chuig líonraí príobháideacha eile. Cuir an riail teoranta don raon cliant, don cheann scríbe atá beartaithe agus don chomhéadan.

Is le IPsec atá bunaithe ar pholasaí a dhéanann sé seo an dochar is mó. Téann treoir aistrithe strongSwan trí chumasú aistrithe IP agus trí riail SNAT foinse a chur le cliaint, agus clúdaíonn an doiciméadacht chéanna trácht a eisiamh nach mór a sheoladh bunaidh a choinneáil. Aistrigh foinse sula ndéanann an pholasaí slándála meaitseáil uirthi agus féadann an tollán teacht aníos agus an trácht fós ag titim, toisc nach bhfuil an phacáid cosúil leis an roghnóir a rinneadh a idirbheartú a thuilleadh.

Cinneadh freisin cad ba chóir don fhoirceann i bhfad a fheiceáil. Tar éis an aistriúcháin feiceann seirbhís an geata, ní an cliant aonair. Simplíonn sé sin ródú fillte agus ag an am céanna réitíonn sé logaí agus cuireann sé liostaí ceada de réir cliant ar neamhní. Má tá sé tábhachtach seoltaí cliant a chaomhnú, pleanáil bealach fillte ródaithe in ionad iad a cheilt chun go n-éireodh le tástáil.

Na rialacha a léamh ar gheata Linux

Teastaíonn aistriú ar aghaidh cumasaithe agus polasaí scagach a cheadaíonn an sruth ó gheata rochtana cianda a bhfuil cliaint air ag 10.8.0.0/24 agus comhéadan WAN darb ainm eth0, sula féidir le haon riail NAT cabhrú. Coinníonn an leagan iptables an dá threo sa tábla nat:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 51820 \
  -j DNAT --to-destination 10.8.0.2:51820

Úsáideann an fhoirm nftables an dá chrúca céanna le comhéadan ainmnithe agus slabhra sainráite:

nft add rule ip nat postrouting ip saddr 10.8.0.0/24 oifname "eth0" masquerade
nft add rule ip nat prerouting iifname "eth0" udp dport 51820 dnat to 10.8.0.2:51820

Glacann an dá mhír leis go nglacann an slabhra scagach leis an sruth aistrithe cheana féin. Ní riail cheada é NAT, agus is féidir pacáid aistrithe i gceart a chaitheamh amach tábla amháin níos déanaí. Deimhnigh an mhapáil bheo le conntrack -L, deimhnigh cad atá luchtaithe le nft list ruleset nó iptables-save -t nat, agus ansin déan gabháil ar an dá chomhéadan le feiceáil go n-athraíonn an seoladh i ndáiríre.

Móid teipe a bhfuil cuma droch-riail orthu

Is é trácht ribíní an ceann clasaiceach. Teastaíonn an DNAT ar an mbealach isteach agus aistriúchán foinse ar an mbealach amach ar ais ó chliant inmheánach a shroicheann freastalaí inmheánach trí sheoladh poiblí an fhreastalaí, nó freagraíonn an freastalaí go díreach don chliant agus diúltaitear don fhreagra. Is é an leigheas dara riail, níos cúinge, don chás inmheánach-go-poiblí sin, ní riail Masquerade níos leithne do gach rud.

Is é an t-aistriúchán dúbailte an ceann ciúin. Tagann cliant atá cheana féin taobh thiar de NAT grád iompróra chuig do gheata le seoladh nach féidir leat a ródú ar ais, mar sin aistríonn tú arís. Oibríonn sé, ach iompraíonn logaí anois dhá léim de sheoladh príobháideach agus teastaíonn an dá mhapáil ó aon imscrúdú. Cuireann IPsec atá bunaithe ar pholasaí tríú cas leis: aistrigh roimh mheaitseáil an pholasaí agus faigheann tú SA atá suas gan trácht ag dul tríd, rud a léitear mar fhabht balla dóiteáin seachas fabht NAT.

Ansin tá an tástáil a n-éiríonn léi agus an t-imscaradh a theipeann. Cruthaíonn rith an ordaithe NAT de láimh an mheicníocht, ní an chumraíocht. Imíonn riail a chuirtear leis ag am rite ar athghlacadh nó ar an gcéad eachtra comhéadain eile, agus féadann riail Masquerade atá ceangailte le comhéadan a athuimhrítear an seoladh a fheiceann an foirceann i bhfad a athrú go ciúin. Cuir an riail i gcumraíocht an bhall dóiteáin a shealbhaíonn í agus déan í a thástáil arís tar éis athnascadh.

Seicliosta sula sábhálann tú an riail

Ainmnigh an treo ar dtús: foinse, ceann scríbe nó an dá rud. Ansin sainaithin cé a chaithfidh an staid a choinneáil — an geata, an ródair thuas nó an piara IPsec — agus deimhnigh go dtagann an bealach freagartha ar ais tríd. Cuir an riail teoranta don raon cliant, don cheann scríbe agus don chomhéadan atá i gceist agat i ndáiríre, agus cinneadh roimh ré ar chóir don fhoirceann i bhfad an geata nó seoladh bunaidh an chliaint a fheiceáil.

Déan tástáil ó chliant, ní ón ngeata. Is féidir le brabhsálaí ar an ngeata féin riail aistriúcháin an chliaint a sheachaint go hiomlán, mar sin ní chruthaíonn leathanach a oibríonn ansin aon rud faoin tollán. Seol iarratas amháin a thagann ón gcliant, féach ar na cuntair agus ar an tábla conntrack, agus déan é a athrá tar éis athnascadh an tolláin agus athrú seoladh WAN má tá ceachtar acu indéanta san áit a n-oibríonn tú.