Cá dtéann NAT an VPN i before.rules UFW agus conas é a thástáil

Teipeann riail NAT a oibríonn nuair a chlóscríobhtar i bhfleascán í nuair a ghreamaítear in before.rules í, mar ní script í an chomhad sin. Doiciméad i bhformáid athchóirithe é le rannáin tábla, dearbhuithe slabhraí agus marcóir COMMIT do gach tábla. Líne sa mhí-áit soitheann sé an t-athchóiriú ar fad nó caitheann sé go ciúin rialacha a cheap tú a bhí ann. Cuireann an rúnleabhar thíos an blúire san áit a bhfuiltear ag súil leis agus cruthaíonn sé an toradh sula ndéantar an chéad athlódáil eile.

Ní comhad athchóirithe é ordú fleascáin

Is treoir don dénártha iptables í líne a thosaíonn le iptables -t nat, agus is cur síos ar thacair rialacha iomlán é an comhad a léann UFW. Níl an difríocht cosmaideach: caithfidh formáid an athchóirithe a bheith ar eolas aige cén tábla ina bhfuil sé, cé na slabhraí atá ann agus cá gcríochnaíonn an tábla. Is earráid chomhréire nó, níos measa, riail atá ceangailte den tábla mícheart í ordú a ghreamaítear sa doiciméad sin. Lódálann an creat na comhaid seo trí uirlisí athchóirithe go beacht mar go bhfuil siad dearbhach seachas seicheamhach.

Lódáiltear an doiciméad ina iomláine freisin, mar sin is féidir le rannán amháin míchumtha stop a chur le cur i bhfeidhm an chuid eile den chomhad. Mar sin tógann botún beag i mblúire NAT na rialacha scagtha síos leis, agus sin mar a éiríonn athrú balla dóiteáin ina bhriste.

Cuir an blúire laistigh den rannán tábla atá ann cheana

Tá cruth ar bhluire NAT, agus tá an cruth níos tábhachtaí ná téacs na rialach istigh ann. Osclaíonn ceann an tábla an rannán, socraíonn dearbhuithe slabhraí na hairíomhánna, leanann na rialacha, agus dúnann COMMIT an rannán.

*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 10.55.0.0/24 -o ens3 -j MASQUERADE
COMMIT

Is ionadaithe iad an linn agus an comhéadan thuas do do chuid féin; is é an struchtúr an chuid is fiú a chóipeáil. Má tá rannán *nat sa chomhad cheana féin, cuir an riail laistigh den rannán sin seachas ceann eile a oscailt, mar tá COMMIT amháin in aghaidh an tábla ag teastáil ón bhformáid agus is deisiú ag fanacht le tarlú é dhá rannán don tábla chéanna. Coinnigh sainmhínithe slabhraí an dáileacháin slán, lena n-áirítear aon cheann a chuir an díoltóir leis dá chomhtháthú féin. Déanann lámhleabhar an chreata UFW na comhaid before, user agus after a dhoiciméadú mar aon leis an riachtanas COMMIT comhoiriúnach.

Má fhaightear folamh an comhad, ná líon le teagascóir é. Deimhnigh cé acu pacáiste a shealbhaíonn é agus cad atá sa bheartas beo i ndáiríre, mar ní chruthaíonn comhad marthanach folamh nach bhfuil rialacha ar bith ag an eithne, agus ní chruthaíonn tacar rialacha lódáilte go mbeidh comhad iomlán ag an gcéad athlódáil eile le léamh. Athchóirigh an bunlíne thacaithe ar dtús, ansin cuir athruithe an tsuímh i bhfeidhm arís os a chionn.

Tástáil an t-iarrthóir gan é a chur i bhfeidhm

Is féidir leis an uirlis athchóirithe tacar rialacha a pharsáil agus a thógáil gan é a chur i bhfeidhm, agus sin an tástáil is saoire atá ar fáil. Rith í ar chóip chosanta seachas ar an gcomhad beo, agus léigh téacs na hearráide seachas an stádas scoir amháin. Ainmníonn teip pharsála líne agus de ghnáth tábla, rud atá níos mó ná a insíonn athlódáil theipte duit.

sudo cp /etc/ufw/before.rules /root/before.rules.bak
sudo iptables-restore --test < /root/before.rules.bak
echo "exit: 0"

Cruthaíonn pasáil na seiceála sin go bhfuil an doiciméad á pharsáil agus ní rud ar bith eile. Ní chruthaíonn sé go bhfuil gach slabhra a bhfuil UFW ag brath uirthi fós san iarrthóir, nach gceadaíonn sé ach na foinsí a bhí beartaithe agat, nó go bhfanann an riarachán cianda inrochtana. Athbhreithnithe ar leith iad sin, agus tá an ceann deireanach tuillte ag dara seisiún a osclaítear sula dtosaíonn tú.

Roghnaigh an uirlis a thagann leis an gcúlpháirtí suiteáilte agus leis an teaghlach seoltaí. Teastaíonn an t-ordú comhfhreagrach ó óstríomh a ritheann cúlpháirtí nft tríd an gciseal comhoiriúnachta, agus maireann rialacha IPv6 i gcomhad go hiomlán difriúil.

Coinnigh ardú seachadta, NAT agus beartas rochtana óna chéile

Réitíonn aistriú foinse fadhb seoladh agus ní thugann sé aon rud. Is cead ar leith é an t-ardú seachadta a rialaíonn sysctl agus an tábla scagtha, agus is é an ceann a ndéanann daoine dearmad air nuair a dhéanann tollán ródú ach ní chuireann sé trácht ar aghaidh. Is é an beartas rochtana an tríú cinneadh faoi cé na foinsí a fhéadfaidh cé na seirbhísí a bhaint amach, agus ní chuireann aon riail NAT in iúl é. Is é na trí rud a choinneáil óna chéile a dhéanann teip in-dhiagnóisithe seachas comhartha amháin doiléir.

sysctl net.ipv4.ip_forward
sudo iptables -t nat -S POSTROUTING
sudo iptables -S FORWARD

Léigh na trí aschur sin le chéile seachas ceann ag a am. Táirgeann riail masquerade le hardú seachadta díchumasaithe cliant a nascann agus nach sroicheann aon rud, rud a fhéachann go beacht le locht ródaithe ó thaobh an chliaint de agus a sheolann daoine chuig an gcomhad mícheart. Is é an tábla scagtha freisin an áit a bhfaigheann accept róleathan i bhfolach, mar sin seiceáil a bheartas réamhshocraithe agus tú ann.

Fíoraigh athlódáil, diúltú agus caillteanas VPN

Déanann trí bhreathnóireacht tástáil ghlactha iomlán: éiríonn leis an athlódáil, oibríonn oibríocht cliaint cheadaithe, agus diúltaítear go hiarbhír d'iarratas ar cheart diúltú dó. Is é an tríú ceann an ceann a ndéantar neamhaird de, agus is é an t-aon fhianaise go bhfuil an beartas ag déanamh aon rud ar chor ar bith.

sudo ufw reload
sudo ufw status verbose
sudo iptables -t nat -L POSTROUTING -n -v

Ansin tástáil an teip a dhear tú. Scaoil an tollán agus féach cad a dhéanann an t-óstríomh, mar is beartas é beartas a oibríonn ach amháin agus an VPN suas a bhfuil spleáchas gan rá air. Athlódáil uair amháin eile ina dhiaidh sin chun cruthú gurb é an comhad, seachas staid reatha fágtha éigin, a tháirgeann an toradh oibre.

Ní deir NAT IPv4 aon rud faoi IPv6, mar sin luaitear an clúdach beartaithe don dá theaghlach sa nóta céanna leis an riail. Is é an sprioc beartas bainistithe comhleanúnach, agus ní fianaise air é blúire a pharsáiltear trí sheans.