NAT LAN ta tun0 a kan gateway ɗin VPN na OpenBSD

Injiniyoyi biyu da aka ba su gateway ɗaya na OpenBSD sukan ba ka jerin ƙa'idoji biyu daban-daban don isa wata cibiyar sadarwa mai nisa, kuma ana iya kare duka biyun. Zaɓin tsakanin fassarar tushe da hanyar dawowa ba tambaya ce ta tsarin rubutu ba kwata-kwata. Ya dogara ne da abin da ɓangaren nesa ya riga ya sani game da 192.168.88.0/24 da abin da kake buƙatar ajiyewa a cikin log ɗinka. Idan ka yi kuskure a nan, layin nat-to zai yi kama da daidai sarai yayin da amsoshi ke ɓacewa cikin gateway na asali na nesa.

Tushen hanya da sake rubutu suna amsa tambayoyi daban-daban

Tebur ɗin hanya yana yanke shawarar cewa ana iya isa 172.20.0.0/16 ta tun0, kuma wannan shawarar tana faruwa kafin a tuntuɓi kowace fassarar pf. Sai fassarar tushe ta canza kan faci domin ƙarshen nesa ya ga adireshin ramin gateway maimakon mai masaukin LAN. Babu ɗaya daga cikin hanyoyin da zai maye gurbin ɗayan: ƙa'idar nat ba za ta iya ƙirƙirar hanya ba, kuma hanya ba za ta iya shawo kan na'urar tafiyar da hanya mai nisa da ba ta taɓa jin labarin ƙaramin cibiyar sadarwarka ta sirri ba. Idan ɓangaren nesa ba shi da hanyar dawowa, ana watsi da amsoshi ko a tura su zuwa gateway ɗinsa na asali, kuma duk gyaran ƙa'idoji ba zai gyara hakan ba.

A bayyane, turawa tana amsa inda zirga-zirga ke zuwa kuma fassara tana amsa daga inda ake ganin ya fito. Ka riƙe su cikin akwatunan tunani daban-daban yayin da kake tsara jerin ƙa'idojin.

Sharuɗɗa uku da suke yanke shawara

Yi tambayoyi uku a jere kuma tsarin zai zaɓi kansa yawanci. Shin cibiyar sadarwar nesa tana da wata hanya tabbatacciya da ke nuni ga adireshin rami don 192.168.88.0/24, ko kuma mai kula da ita ne ke iko da na'urorin tafiyar da hanyar a wannan hanyar? Idan haka ne, bar adiresoshin LAN su yi tafiya ba tare da an canza su ba kuma ka tsallake fassara gaba ɗaya. Kana buƙatar ganin kowane abokin ciniki a ɓangaren nesa, ko don manufar samun dama ko don bin diddigin tanti? Idan haka ne, kiyaye tushen ya cancanci aikin hanyar. Shin adireshin ramin ya isa ya tsaya a rubuta shi cikin hanyar nesa, ko yana motsi tsakanin sake haɗawa?

Idan kowace amsa ita ce a'a ko ba a sani ba, nat-to ne zaɓi mai amfani, kuma shi ne wanda za a iya juyawa. Ƙa'idar fassara tana fita a layi ɗaya da zarar ɓangaren nesa ya ƙara ingantacciyar hanya. Hanyar dawowa da ba a taɓa girka ba tana ɗaukar maka zaren tallafi duk lokacin da wani ya tambayi me ya sa ramin ke aiki a hanya ɗaya kawai.

Sanya guntun rubutun domin pf ya tantance shi da gaske

Guntun da ke ƙasa yana ɗauka cewa LAN ita ce 192.168.88.0/24, cibiyar sadarwar nesa ita ce 172.20.0.0/16, kuma mashigar rami ita ce tun0. Babu wani abu a ciki da ke zaɓar mataki na gaba. Yana sake rubuta tushen ne kawai a kan fakiti waɗanda tuni suke fita ta ramin.

match out on tun0 inet from 192.168.88.0/24 to 172.20.0.0/16 nat-to (tun0)
pass in on em0 inet from 192.168.88.0/24 to any keep state

Cikakkun bayanai biyu a wannan layi na farko suna ɗaukar mafi yawan nauyi. Ƙwararren baka a kewayen tun0 suna gaya wa pf ya karanta adireshin mashigar duk lokacin da ya gina shigarwar yanayi, wanda ke da muhimmanci sa'ad da aka sake lambar ramin bayan sake haɗawa. Kalmar match tana nufin ƙa'idar tana sake rubutawa sannan ta faɗi ƙasa, don haka wata ƙa'idar pass daban dole ne har yanzu ta yarda da kwarara. Mashigar da aka ambata a layin match ita ma dole ne ita ce wadda tebur ɗin hanya ke zaɓa, in ba haka ba pf zai tantance ƙa'idar a wata hanyar fita dabam da wadda facin ke bi da gaske.

Kar ka manta ɓangaren kernel. Dole ne a kunna turawar IPv4, kuma dole ne ƙa'idojin pass masu ɗauke da yanayi na rami da LAN su kasance kafin wannan ya sami ma'ana. Sashen PF NAT na tambayoyin OpenBSD shi ne madaidaicin tushe don tsarin kalmomin nan.

Tabbatar da jerin ƙa'idoji kafin ka amince da zirga-zirgar

Fara duba tsarin rubutu da pfctl -nf /etc/pf.conf, wanda ke nazarin fayil ɗin ba tare da loda shi ba. Sannan ka loda manufar ka karanta abin da kernel ke riƙe da gaske, domin ƙa'idar da ta yi nazari mai tsabta tana iya kasancewa an rufe ta ko an haɗa ta da mashigar da ba daidai ba. pfctl -sn yana buga ƙa'idojin fassara a sigarsu da aka loda, kuma pfctl -sr yana buga ƙa'idojin tacewa a tsarin tantancewa.

Sa'an nan ka kalli waya. A kan gateway, tcpdump -ni tun0 'host 172.20.0.10' yana nuna ko adireshin tushen da ke barin ramin adireshin rami ne ko mai masaukin LAN. Wani saurin netstat -rn -f inet yana tabbatar da mashigar da makoma ke warwarewa zuwa gare ta. Da zarar zirga-zirga ya gudana, pfctl -ss yana lissafa shigarwar yanayi; idan kwarara ba ta samar da yanayi ba, facin bai taɓa cin karo da ƙa'idar da ke ƙirƙirar ɗaya ba.

Idan ɓangaren ramin yana da kyau amma amsoshi ba sa zuwa, ka daina gyara pf. Sauran gazawar tana kan na'urar tafiyar da hanya ta nesa, inda ake tura amsar zuwa wani adireshi na sirri da wannan ɓangaren ba zai iya isa ba.

Lokacin da fassara ta fi abin da take ceto tsada

Fassara tana ɓoye abokan ciniki, kuma wani lokacin wannan ita ce ainihin cinikin da bai dace ba. Ƙananan cibiyoyin sadarwa masu haɗuwa suna ɗaya daga cikin al'amuran: idan ɓangaren nesa ma yana amfani da 192.168.88.0/24 a ciki, gabatar da masu masaukin LAN a matsayin gateway yana ƙara munin karon maimakon inganta shi. Manufofin IPsec da ke zaɓar zirga-zirga ta hanyar adireshi biyu wani al'amari ne, domin ana daidaita bayanan manufar tsaro kafin fassara kuma ba sa taɓa ganin facinka da aka sake rubuta. Duk wani turawa da ke biyan kuɗi, daidaita, ko bincika kowane mai amfani shi ma yana rasa asalin da yake buƙata a lokacin da tushen ya faɗi zuwa adireshi ɗaya.

Abubuwan da aka samo daga pf masu ɗaukuwa wani tarko ne daban. Kayayyakin da suke ƙirƙirar nasu fayilolin ƙa'ida suna tsammanin za a saita NAT ta hanyar mashigarsu, kuma guntun da aka gyara da hannu ana rubuta su a kan su a loda na gaba. Jerin ƙa'idojin da aka kwafi daga jagororin da aka rubuta kafin kalmar match ta wanzu ba za su loda a kan kernel na yanzu ba, don haka ka sauya tsarin rubutun ka karanta kuskuren maimakon yin hasashe.

Ƙa'idar yanke shawara da ke tsira daga haɗuwa da cibiyoyin sadarwa na gaske gajera ce: girka hanyar dawowa idan za ka iya, yi fassara idan ba za ka iya ba, kuma ka rubuta wanne daga cikin sharuɗɗan uku ya sa ka zaɓa. Wannan bayanin yana ceton mutum na gaba da rana.