Hairpin NAT: me ya sa ƙarshen VPN ke kasawa daga ciki

Sabar VPN da ke amsa daga hanyar wayar hannu amma ba ya aiki daga kan gado yawanci ba matsalar takardar shaida ba ce. Abokin ciniki da ke cikin LAN yana rokon na'urar sadarwa da ta fassara fakiti wanda makomarsa ita ce adireshin jama'a na na'urar sadarwa kanta, wanda ke nufin dole fakiti ya fita ya dawo ciki kai tsaye. Wannan motsi ana kiransa hairpinning, kuma da yawa daga na'urorin sadarwa ko ba sa aiwatar da shi ko kuma suna yin haka ne kawai idan an kunna akwatin zaɓi. Nasara na gwajin waje ne ke sa abin ya rikice, domin yana tabbatar da cewa mai sauraro da dokar turawa suna lafiya.

Fakiti ya fita ya dawo ciki

Bi fakiti. Abokin ciniki yana warware sunan jama'a, yana haɗi zuwa adireshin jama'a, kuma NAT na makoma na na'urar sadarwa yana sake rubuta makoma zuwa sabar ciki. Amsar sabar an yi mata adireshi zuwa adireshin LAN na abokin ciniki, don haka tana komawa ta hanyar LAN na na'urar sadarwa ba tare da ta taɓa wucewa ta dokar NAT da za ta mayar da tushen ba.

Yanzu abokin ciniki yana karɓar fakiti daga adireshin da bai taɓa aika masa komai ba, kuma yana watsar da shi. Wannan rashin daidaito shi ne dukan lalacewar.

RFC 4787 yana bayanin halin da ake tsammani daga NAT a wannan yanayin, kuma taƙaitaccen bayani shi ne cewa a aikace zaɓi ne ko da a inda aka ƙayyade shi a ka'ida. Wasu na'urorin sadarwa suna kiran saitin NAT loopback, wasu suna kiransa hairpin NAT ko NAT reflection, wasu kuma ba sa nuna komai. Na'urar da ba ta da shi ba a yi mata kuskuren tsari ba; tana yin abin da aka saba, kuma gyaran ya shafi wani wuri. Kada ka yanke hukunci daga gwajin gida da ya kasa cewa dokar turawa ta jama'a ba daidai ba ce.

Bincike 1: gwada hanyoyin biyu daban

Daga wajen LAN, haɗa da bayanin da ainihin mai amfani zai yi amfani da shi kuma tabbatar da cewa zaman ya kafu. Daga ciki, haɗa zuwa adireshin jama'a da wannan bayanin kuma rubuta ainihin kuskure da lokacin.

Daidaitaccen gwajin gida yana riƙe sunan mai masauki kuma yana maye gurbin adireshin kawai: curl -v --resolve vpn.example.com:443:203.0.113.10 https://vpn.example.com/ yana aika buƙatar zuwa adireshin jama'a yayin da har yanzu yana gabatar da daidai sunan sabar. Wannan yana raba matsalar warware suna daga matsalar fassara, waɗanda suke da sauƙin rikicewa idan sunan ɗaya yana aiki daga gidan shayi. Lura ko abokin ciniki ya kasa a haɗin TCP ko daga baya a TLS, domin na farko yana nuni ga fassara na biyu kuma ga asali.

Bincike 2: karanta abin da sabar ke gani

Mafi amfani lura shi ne ra'ayin sabar. Gudanar da ɗaukar hoto a kan mai masaukin VPN wanda aka tace zuwa adireshin LAN na abokin ciniki da adireshin LAN na na'urar sadarwa, sannan sake gwajin gida. Idan babu abin da ya iso, fakiti bai tsira daga fassarar ba.

Idan haɗi ya iso daga adireshin LAN na na'urar sadarwa maimakon na abokin ciniki, hairpinning yana faruwa kuma an sake rubuta tushen. Wannan tsari ne mai aiki, ba lalacewa ba.

Bincike 3: gyara shi ba tare da taɓa hanyar waje ba

Akwai siffofi uku da aka goyi baya, a cikin tsarin girma na tasiri. Mafi ƙunci shi ne DNS da aka raba: buga rikodin ciki domin sunan sabar ɗaya ya warware zuwa adireshin ciki ga abokan ciniki a LAN, wanda ke guje wa hanyar jama'a gaba ɗaya. Na gaba shi ne kunna zaɓin loopback ko reflection na na'urar sadarwa, idan tana da shi, da amfani da shi ga wannan sabis ɗin kawai. Mafi faɗi shi ne dokar source-NAT a kan na'urar sadarwa da ke sake rubuta zirga-zirgar da ta fito daga LAN zuwa sabar domin amsar ta dawo ta na'urar sadarwa; a na'urar sadarwa ta Linux wannan dokar MASQUERADE ce a cikin POSTROUTING wadda ta dace da adireshi da tashar sabar. Dukkan ukun suna barin hanyar waje ba ta taɓa ba, kuma wannan ita ce sifar da ya kamata a kiyaye.

Kada ka faɗaɗa turawar tasha marar alaƙa don hanyar gida ta yi kama da ta waje, kuma kada ka matsa sabis ɗin zuwa wata tasha don guje wa matsalar. Duk canje-canjen biyu suna canza abin da duniyar waje za ta iya kaiwa don gyara wani abu da duniyar ciki kaɗai ke gani.

DNS da aka raba yana da tarko ɗaya da ya cancanci ambata. Maye gurbin sunan mai masauki da IP na son rai yana canza abin da abokin ciniki ke tabbatarwa, don haka rikodin ciki dole ne har yanzu ya dace da sunan takardar shaida.

Bincike 4: tabbatar da hanyoyin biyu bayan haka

Sake gwajin waje daga wajen LAN, sake gwajin ciki da wannan bayanin, kuma tabbatar da cewa log ɗin sabar yana nuna zaman nasara biyu daban maimakon nasara ɗaya da shiru ɗaya. Sannan duba cewa sauran abokan ciniki har yanzu suna isa mai sauraro kuma hanyoyin zuwa albarkatun sirri ba su canza ba.

Riƙe rikodin a takaice: wane adireshi kowane abokin ciniki ya yi amfani da shi, abin da sabar ta gani, da wane daga cikin gyare-gyaren uku aka yi amfani da shi. Buƙatun hairpinning na RFC 4787 su ne maɓuɓɓugar abin da ake tsammani daga NAT a nan, kuma suna bayanin me ya sa na'urar sadarwa ba tare da wannan sifar ba tana yin hali na al'ada. Rashin nasara na gida wanda duniyar waje ba za ta iya sake haifuwa ba tambaya ce ta fassara har sai an tabbatar da akasin haka, don haka gwada shi haka.