Dhá chliant VPN, dhá sheoladh poiblí: déan an SNAT a mheaitseáil

Is féidir le dhá chliant VPN imeacht trí dhá sheoladh IPv4 phoiblí éagsúla, agus tá an riail a dhéanann é sin níos giorra ná mar a mbíonn súil ag formhór na ndaoine. Ní an chomhréir iptables a chuireann ag obair é ach riocht an phaicéid nuair a shroicheann sé an tslabhra eisrigh: caithfidh an seoladh foinse ansin na cliaint a aithint fós. Má tá masquerade níos luaithe tar éis an dá cheann a chomhcheangal ar aon seoladh amháin cheana, ní féidir le haon riail in aghaidh an chliaint an t-idirdhealú a thabhairt ar ais. Socraigh an cheist sin ar dtús, ansin scríobh an t-aistriúchán.

Cén fhéiniúlacht a mhaireann go dtí an geata

Meaitseálann an riail seoladh foinse an phaicéid, ní ainm úsáideora VPN ná an t-ainm a thaispeánann feidhmchlár cliaint. Cinneann gach rud a aistríonn an paicéad níos luaithe ar an mbealach cad is féidir le do riail a fheiceáil fós. Rith tábla nat in ord agus faigh an pointe ina bhfuil an fhoinse fós in aghaidh an chliaint.

iptables -t nat -S POSTROUTING

Léigh an liosta sin ón mbarr. Athscríobhann riail masquerade gar don bharr an fhoinse do gach sreabhadh meaitseála, agus meaitseálann iontrálacha in aghaidh an chliaint a chuirtear ina dhiaidh seoladh nach bhfuil ann a thuilleadh. Nuair a roinneann dhá fheiste LAN aon tollán amháin agus a thagann siad mar aon seoladh inmheánach amháin, caithfidh an dearadh athrú sula n-athraíonn an balla dóiteáin: coinnigh a raonta foinse ar leithligh nó tabhair a sheoladh inmheánach féin do gach ceann.

Ceangail leithdháileadh an tseolta inmheánaigh leis an gcliaint fhíordheimhnithe. Tugann tabhairt an tseolta sin do ghléas eile an beartas eisrigh leis, agus ní cruthúnas féiniúlachta ann féin é aistriú foinse.

Ní féidir leis an aistriúchán seoladh a chumadh

Caithfear gach seoladh poiblí a leithdháileadh nó a ródú chuig an bpointe eisrigh seo, agus caithfidh na freagraí a mbealach ar ais a fháil chuige. Déantar riail a sheolann trácht ó sheoladh nach ródann éinne ar ais chuige a scaoileadh ag an bhfaráiste i bhfad i gcéin nó freagraítear é chuig óstach nár iarr riamh é. De ghnáth bíonn seoladh poiblí shuiteáil soláthraí néil aistrithe chuig seoladh comhéadain phríobháidigh sula n-imíonn an paicéad, mar sin caithfidh foinse SNAT a bheith mar an seoladh a nglacfaidh an soláthraí leis, ní an luach a thaispeánann an consól. Léigh múnla seoltaí an tsoláthraí agus lean é seachas an luach poiblí a chóipeáil isteach i ngach paicéad.

Go praiticiúil ciallaíonn sé sin an réimír ródaithe a sheiceáil i gconsól an tsoláthraí sula dteagmháil tú leis an mballa dóiteáin, agus an seoladh comhéadain phríobháidigh a úsáid mar fhoinse aistriúcháin nuair atá an mapáil duine le duine. Tagann na seoltaí a úsáidtear sna samplaí thíos ó na raonta doiciméadaithe, mar sin is é an chéad rud atá le hathrú ná téacs an tseolta féin.

Ionsáigh roimh an masquerade ginearálta

Deimhnigh an comhéadan eisrigh agus an tslabhra reatha sula gcuireann tú aon rud leis. Cinneann an chéad cheann cé na paicéid is féidir leis an riail a mheaitseáil, agus taispeánann an dara ceann cad atá ina seasamh roimhe cheana.

ip -4 route show default
iptables -t nat -L POSTROUTING -n -v --line-numbers

Ainmníonn an chéad ordú an comhéadan trína n-imíonn paicéad chuig an idirlíon i ndáiríre. Priontálann an dara ceann an tslabhra le huimhreacha líne. Is é an iontráil masquerade ghinearálta an líne ar cheart duit fanacht os a chionn.

iptables -t nat -I POSTROUTING 1 -s 10.88.4.20/32 -o ens3 -j SNAT --to-source 198.51.100.77
iptables -t nat -I POSTROUTING 1 -s 10.88.4.21/32 -o ens3 -j SNAT --to-source 198.51.100.78

Meaitseálann an dá riail thuas aon seoladh inmheánach amháin an ceann, cuireann siad an mheaitseáil chuig an gcomhéadan eisrigh agus socraíonn siad an fhoinse go sainráite. Ionsáigh seachas cur leis: ag suíomh 1 déantar iad a mheas roimh an líne masquerade. Ní miste an t-ord idir an dá rud mar go bhfuil a bhfoinsí difriúil. Cuir ens3 in ionad an rud a thuairiscigh an t-ordú ródaithe, agus coinnigh bainisteoirí balla dóiteáin eile ó na crúcaí céanna, óir is é dhá uirlis ag scríobh aon tábla amháin an chúis is gnáthaí nach mbíonn aon éifeacht ag riail cheart.

Cruthaigh an fhoinse le sreabhadh nua

Ceanglaíonn NAT stáit aistriúchán nuair a thosaíonn sreabhadh agus úsáideann sé arís é do phaicéid níos déanaí, mar sin coinníonn seisiún a osclaíodh roimh an athrú a sheanfhoinse tar éis an athraithe. Ní chruthaíonn ach nasc nua-thionscanta an riail.

conntrack -L -s 10.88.4.20 -p tcp --dport 443

Léigh treo freagartha na hiontrála sin: is é a cheann scríbe an seoladh a fheiceann an taobh i bhfad i gcéin mar fhoinse. Cuir i gcomparáid é leis an seoladh poiblí a bhí beartaithe agat, agus glac le hiontráil a iompraíonn an seanseoladh mar chruthúnas ar shreabhadh a thosaigh ró-luath seachas mar riail bhriste. Iarr ar an gcliaint nasc úr a oscailt, ansin déan an t-iarratas arís. Cuireann folmhú an tábla rianaithe ar fad chun an tástáil a fhoréileadh isteach ar gach seisiún eile ar an ngeata.

Ní roghnaíonn an t-aistriúchán an bealach fós, ní ligeann sé an sreabhadh tríd an scagaire ná ní fhoilsíonn sé seirbhís ionsuite. Leanann bealach mícheart agus riail cheada atá ar iarraidh ag teip tar éis riail SNAT foirfe. Seiceáil IPv6 agus aon bhealach eisrigh tánaisteach freisin, ansin notaigh na péirí inmheánach-go-poiblí i ndoiciméadú an bhalla dóiteáin ionas go dtosóidh an chéad athrú eile ón mapáil seachas ó théacs na riail.