Abokan ciniki na ƙasa a bayan VPN na sama: hanya ko NAT?

Ƙofa ɗaya tana gudanar da WireGuard don na'urorinka da kuma abokin ciniki na OpenVPN zuwa cibiyar sadarwar wani. Tura tsakanin cibiyoyin ciki biyu yana aiki, kuma yana da sauƙi a kammala cewa yankin ƙasa ya zama ɓangare na sabis ɗin sama. Ba haka ba ne. Hanyar da abokin ciniki ya ja yana gaya wa ƙofarka inda za a aika buƙatun; ba ta faɗi komai game da yadda cibiyar sadarwar nesa ke mayar da zirga-zirga ga na'urorin da ba ta taɓa jin labarinsu ba. Zaɓi tsarin mayarwa da sabis ɗin sama ke goyan bayawa da gaske kafin ka ƙara ko ɗaya doka.

Yanke shawara kan tsarin mayarwa kafin ka taɓa sarrafa hanyoyi

A wannan bayani, abokan ciniki na ƙasa suna amfani da 10.90.0.0/24, adireshin tunnel na sama da aka ba ƙofar shine 10.80.0.6, kuma albarkatun nesa da aka amince shine 172.20.0.30. Tsare-tsare biyu sun dace da wannan siffar: kiyaye tushen ƙasa ka sa gefen nesa ya yi masa hanya, ko fassara tushen zuwa adireshin tunnel na ƙofar kanta. Duk abin da ke bayan wannan shawarar aikin fasaha ne kawai, kuma shawarar kanta tana buƙatar mai sabis ɗin. Layi ɗaya a sama yarjejeniyar hanya ce da gefen nesa; ɗayan kuma canjin manufa ne na gida da za ka iya yi kai kaɗai. Haɗa waɗannan biyun shine ke mai da canji na minti goma tattaunawa.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Zaɓi layi ɗaya ka kuma tsaya da shi. Layukan zaɓi ne, ba matakai ba, kuma haɗa su yana samar da tsari wanda babu wanda zai iya bayyana a lokacin bita.

Kiyaye tushe ta hanya

Gefen nesa yana karɓar buƙata daga adireshin ƙasa, don haka yana buƙatar hanyar da aka goyi baya da mallakar peer ga wannan yanki, tare da izinin karɓe ta. Waɗannan saitin nesa ne, kuma babu hanyar Linux ta gida da ke ƙirƙirar su. Nemi su a fili da rubuce, tare da prefix ɗin da peer ɗin tunnel ɗin da zai ɗauke ta, kuma yi tsammanin amsar za ta dogara da ko sabis ɗin yana goyon bayan shirye-shiryen site-to-site kwata-kwata.

Idan amsar ita ce e, saitin gida kaɗan ne: tura a kunne, allowed-ips na WireGuard peer da ke rufe yankin ƙasa, da manufar firewall da ke ba da izinin wucewa a duka kwatance biyu.

Fassarar tushe da gangan

Idan sabis ɗin yana mayar da zirga-zirga zuwa adireshin abokin ciniki da aka haɗa kawai, fassara tushen zuwa wannan adireshin a hanyar fita ka kuma riƙe yanayin conntrack da ke juyar da shi don amsoshi. Iyakance dokar ga tushen ƙasa da aka nufa, wuraren nesa da aka nufa da kuma interface na sama. Dokar da ke fassara duk abin da ke fita daga kowane interface manufa ce mafi girma fiye da wannan buƙata, kuma za ta ba ka mamaki daga baya.

IPv6 yana buƙatar nasa tsarin; kwafin layin masquerade na IPv4 ba gine-gine ba ne. Gwada hanyar da aka fassara da sabuwar haɗi maimakon wadda aka adana a cache.

Hanyar bayanan gida dole ne har yanzu ta yi aiki

Fassara ba ta kawar da aikin gida: ƙofar har yanzu tana buƙatar hanya zuwa wuraren ƙasa, mallakar tushen WireGuard peer daidai, tura a kunne da kuma ƙunƙuntar manufar firewall tsakanin interfaces. Buƙatar da aka ƙirƙira a kan ƙofar kanta ba ta gwada ɗaya daga cikin waɗannan izini, shi ya sa gwaje-gwajen gida a kan ƙofar suke wucewa amma na'urorin ƙasa har yanzu suna kasawa.

Gwada daga ainihin na'urar ƙasa, ba daga ƙofar ba. Adireshin tushe shine dukan ma'anar wannan atisaye.

Tushe ɗaya yana nufin asalin zama ɗaya

Sabis ɗin nesa yana ganin zama mai inganci na ƙofar da adireshinta da aka fassara, ba tabbaci mai zaman kansa ga kowace na'urar ƙasa ba. Riƙe izini na kowace na'ura da asalin aikace-aikace a fili, kuma tabbatar da mai sabis ɗin cewa an yarda da ƙofar da ke aiki don na'urori da yawa kwata-kwata. Fassara ba hanya ce ta tsallake buƙatar rajista ta kowace na'ura ba; idan sabis ɗin yana buƙatar kowace na'ura ta yi rajista, yi amfani da wannan tsarin ko ka tattauna shirin site-to-site.

Rubuta wannan tabbacin a cikin runbook kusa da dokar, domin mai bita na gaba zai tambaya ko an amince da tsarin ko kuwa ya dace kawai.

Ayyana yanayin katsewa, sannan gwada buƙatu uku

Yanke shawara kan abin da zai faru idan tunnel ɗin sama ya faɗi. Zirga-zirgar nesa da aka ba da izini bai kamata ya bi hanyar ajiya ta WAN ta yau da kullum a inda aka haramta ba, don haka manufar firewall da ke ba da izinin wucewa dole ne ita ma ta kasa a rufe. Sannan gwada al'amura uku daga ainihin na'urar ƙasa: buƙatar da aka yarda da ita da ke aiki, buƙatar da ba a yarda ba da ke kasawa, da gazawar sama da ke tsayar da wadda aka yarda.

Rubuta juyawa baya a layi ɗaya ga kowace doka, domin a iya soke canjin ba tare da sake gina manufar ba.