Ródú de réir foinse do dhá linn VPN: cad a chailleann do riail
Meaitseálann riail den fhoirm from seoladh an chliaint sula ndéanann SNAT é a athscríobh, agus ní mheaitseálann tástáil ón ngeata ceachtar acu. Rith an cuardach in aghaidh an linn agus léigh na tosaíochtaí ina ionad.
Dhá linn cliant, geata amháin, agus tá an plean cosúil le rud fánach: seolann riail amháin an chéad linn amach ar an nasc uachtair ghasta, agus seolann riail eile an dara linn trí thollán comhpháirtí. Ansin bíonn na rialacha i bhfeidhm agus fágann an dara linn fós ar an mbealach réamhshocraithe. Níl an riail briste. Níl foinse an phacáiste mar a bhí súil ag an údar tráth an chuardaigh, toisc go dtarlaíonn an t-aistriú agus an cuardach ag pointí éagsúla i dturas an phacáiste chéanna, agus tá an t-ord contrártha don léaráid mheabhrach a tharraingíonn formhór na ndaoine.
Tarlaíonn an cuardach sula ndéantar an fhoinse a athscríobh
I gcás pacáiste a sheoltar ar aghaidh ó chliant VPN, ritheann an t-eithne seicheamh seasta. Sroicheann sé an comhéadan tolláin, téann sé trí prerouting mar a bhfuil conntrack agus DNAT, ansin déantar an cinneadh ródaithe, ansin an t-aistriú, ansin postrouting, mar a gcuirtear SNAT i bhfeidhm go deireanach. Breathnaítear ar riail den fhoirm from le linn an chinnidh ródaithe sin, rud a chiallaíonn go bhfeiceann sí seoladh bunaidh an chliaint, ní an seoladh aistrithe.
Mar sin ní athraíonn cur riail masquerade leis an bpolasaí a mheaitseálann an sreabhadh amach. Is é a athraíonn ná an rud a fheiceann an fhoirceann i bhfad i gcéin, agus dá réir sin cén cosán fillte atá ann. Is dhá iarmhairt éagsúla iad seo, agus meascann athbhreithnithe athruithe iad go leanúnach. Deighil iad agus is gnách go n-éiríonn an dearadh soiléir laistigh de nóiméad.
Is sa treo freagartha a fheictear an seoladh aistrithe sna rialacha. Tá pacáiste a fhilleann ar an ngeata dírithe ar an seoladh aistrithe, agus má tá rialacha polasaí agat bunaithe ar an gceann scríbe nó ar an gcomhéadan ar tháinig sé isteach air, sin an luach a mheaitseálfaidh tú. An nasc céanna, foinse fhírinne dhifriúil i ngach treo.
| Stage | Source the kernel sees | What it means for your rule |
|---|---|---|
| Prerouting | Client address, 172.31.7.42 | Where marks and DNAT are applied |
| Routing decision | Still 172.31.7.42 | This is where from rules match |
| Postrouting | Becomes 198.51.100.9 | What the far end and its return route see |
Mar sin teastaíonn táblaí éagsúla ó dhá linn a bhfuil foinsí éagsúla acu, agus tá an dearadh fónta. Is é a chuireann an tábla thuas as an áireamh ná an aicearra chun dífhabhtú trí bhreathnú ar an méid a fuair an suíomh i bhfad i gcéin agus an riail a bhaint as sin.
Ní tástáil ar an linn é tástáil ón ngeata
Ní théann trácht a ghineann an geata féin trí prerouting riamh, mar níor tháinig sé isteach ar aon chomhéadan. Ródaítear é sa chosán aschuir, le seoladh an gheata féin mar fhoinse, agus ní mheaitseálfaidh riail from bunaithe ar raon cliant. Is é gach ticéad sa réimse seo a deir go n-oibríonn sé ón mbosca ach ní ón gcliant ná an fhíric chéanna sin curtha i bhfocail eile.
Déan insamhaladh ar an gcliant seachas é a chomhfhogasú. Is féidir an cuardach ródaithe a fhiafraí go díreach, le foinse agus comhéadan iontrála tugtha:
ip route get 198.51.100.9 from 172.31.7.42 iif tun0
ip route get 198.51.100.9 from 172.31.8.42 iif tun0
ip route show table 201Rith é uair amháin in aghaidh an linn. Má fhillfidh an dá ordú an comhéadan céanna, ní bhíonn na rialacha ag dealú na linn, agus is é an chúis ná riail atá ar iarraidh nó riail le tosaíocht níos airde a mheaitseálann an dá cheann. Má fhillfidh siad comhéadain éagsúla ach go dteipeann ar an gcliant fós, tá an locht níos faide ná an cuardach agus is féidir leat stopadh ag breathnú ar rialacha.
Tosaíocht, ní suíomh sa chomhad
Meastar rialacha in ord tosaíochta méadaitheach, agus is í an uimhir a bhfuil tábhacht léi, ní an t-ord a chlóscríobh tú iad. Tá an tábla local ag tosaíocht 0, an tábla main ag 32766 agus an riail réamhshocraithe ag 32767, agus sin an fáth a dtagann riail a cuireadh leis an tosaíocht réamhshocraithe gar do dheireadh an liosta agus a chaillfidh sí i gcoinne beagnach gach rud.
ip rule show
ip rule add from 172.31.8.0/24 lookup 201 priority 1000
ip -4 route show table 201Déanann tosaíocht fhollasach an t-ord beartaithe infheicthe sa chomhad agus san athbhreithniú. Cuireann sé freisin cosc ar bhreiseán níos déanaí léim go ciúin roimh riail atá ann cheana, agus is sin an chúis is coitianta a stopann polasaí a bhí ag obair tar éis athraithe nach mbaineann leis.
Is í riail mheaitseálach a dhíríonn ar thábla neamhiomlán an gaiste eile. Má tá bealach réamhshocraithe i dtábla 201 ach gan aon bhealach chuig an gceann scríbe, scartar an pacáiste nó seoltar chuig an áit mhícheart é, agus breathnaíonn an riail go hiomlán ceart ina haonar. Léigh an tábla, ní hamháin an riail. Is pointeoir í an riail, agus is pointeoir chuig faic é tábla folamh.
Caithfidh an cosán fillte a bheith ann fós
Roghnaíonn polasaí foinse bealach amach. Ní chruthaíonn sé cosán fillte. Má fhágann an dara linn trí thollán comhpháirtí, caithfidh an comhpháirtí a bheith ar an eolas faoi conas 172.31.8.0/24 a shroicheadh, ceachtar trí bhealach ar ais chuig an ngeata nó trí sheoltaí aistrithe a fháil a bhfuil aithne aige orthu cheana.
Is cinneadh dearaidh é an rogha eatarthu a bhfuil iarmhairtí infheicthe aige. Coinníonn ródú an raoin cliant ar ais féiniúlacht gach cliant ag an gcomhpháirtí agus éilíonn sé go nglacfadh sé le do réimír. Folaíonn an t-aistriú an linn taobh thiar d'aon seoladh amháin agus éilíonn sé nach nglacfadh an comhpháirtí ach leis an seoladh sin, ar chostas nach n-aontaíonn do logaí agus a chuid faoi cé a cheangail.
Cibé rud a roghnaíonn tú, scríobh é in aice le sainmhíniú an linn. Is é bealach fillte nach bhfuil ann ach i gcuimhne duine éigin go díreach an cineál ruda a mhaireann go dtí go n-athraíonn an comhpháirtí balla dóiteáin, agus a thógann lá ansin le hathchruthú.
Ná gabh tollán an gheata féin sa pholasaí
Bíonn feidhm ag na rialacha a scríobhann tú do chliaint ar an trácht a ghineann an geata freisin, mura n-eisiatar é. Féadann riail leathan bunaithe ar mharc nó ar chomhéadan aschuir nasc an gheata féin leis an gcomhpháirtí a ghabháil, agus ansin déantar an tollán a iompraíonn an polasaí a ródú ag an bpolasaí. Cruthaíonn sé sin lúb nó briste a bhreathnaíonn cosúil le locht soláthraí.
Cuir gach riail i bhfeidhm chomh cúng agus a cheadaíonn an dearadh: réimír foinse, comhéadan iontrála agus, nuair a thacaítear leis, marc nach n-iompraíonn ach pacáistí cliant. Ansin tástáil nascacht an gheata féin tar éis gach athraithe rialach, toisc go bhfuil an locht féinthagrach agus nach dtagann sé chun solais i dtástáil cliant.
Déanann leathanach láimhe ip-rule cur síos ar shéimeantaic an roghnóra agus na tosaíochta. Cuir le chéile é le tástáil cuardaigh in aghaidh an linn agus éiríonn an dearadh inrianaithe, agus sin an difríocht idir ródú polasaí a mhaireann bliain agus ródú polasaí a bhfuil eagla ar gach duine cur leis.