Trafik na hanya ɗaya bayan kashe SNAT na subnet ɗin Tailscale

Kashe NAT na asali a kan na'urar da ke ba da hanya ta subnet ɗin Tailscale, tunnel ɗin zai ci gaba da aiki yayin da haɗin da ke bi ta ciki suka tsaya. Buƙatun suna isa wurin da ake nufi ɗauke da adireshin overlay na abokin ciniki na nesa, wanda shi ne ainihin manufar canjin, kuma amsar yanzu suna bukatar hanyar da LAN bai taɓa bukatar saninta ba. Ba tare da wannan hanyar ba fakiti suna sauka, amsar suna fita ta hanyar ƙofar da aka saba, kuma gazawar tana bayyana a matsayin matsalar firewall wadda babu wata ka'ida da ke bayaninta. Tunnel ɗin yana cikin lafiya; ɓangaren komawa ya ɓace.

Abin da SNAT ya ɓoye

Yayin da SNAT ke aiki, na'urar ba da hanya tana sake rubuta adireshin asali zuwa adireshin LAN nata kafin ta tura zuwa subnet, don haka wurin da ake nufi yana amsa wa wani mai masaukin da ya riga ya san yadda zai isa gare shi kuma babu wani abu da ake bukatar daidaitawa. Kashe shi yana kiyaye asalin asali, kuma wurin da ake nufi yana ganin adireshi a cikin kewayon overlay maimakon maƙwabci a kan wayarsa. Wannan adireshin na gaske ne kuma ana iya ba da hanya a duk faɗin tailnet, amma ba a iya isa gare shi daga LAN ta ƙofar da aka saba ba. Maɓallin da aka rubuta shi ne --snat-subnet-routes=false, wanda ake amfani da shi a kan na'urar ba da hanya ta subnet ɗin Linux ita kanta.

Saiti ne na dindindin ba maɓallin kowane fakiti ba, don haka hanyar komawa dole ta kasance ga kowane cibiyar sadarwar da wannan na'urar ke hidima. Wannan ne ya sa canjin ya zama shawarar turawa maimakon akwatin zaɓi. Duk abin da wannan na'urar ke hidima yana gado buƙatar a lokaci ɗaya.

Inda hanyar komawa za ta iya kasancewa

Wurare uku ne suka zama ruwan dare, kuma sun bambanta a iyawa ba a daidaito ba. Hanya mai tsayawa a kan mai masaukin da ake nufi ita ce mafi kai tsaye kuma mafi ƙarancin faɗaɗawa, domin kowace na'ura tana bukatar nata kwafin. Teburin hanya a cikin VPC ko a na'urar ba da hanya ta wurin yana rufe dukan cibiyar sadarwa a lokaci ɗaya, kuma zaɓin DHCP da ke ɗauke da hanyoyin tsayawa marasa aji yana isa ga abokan ciniki kai tsaye amma yana gazawa a shiru a kan na'urorin da suka yi watsi da shi.

ip route add 100.64.0.0/10 via 192.168.1.10
ip route get 100.64.0.5

Ko wane wuri ka zaɓa, tsalle na gaba shine adireshin LAN na na'urar ba da hanya ba adireshinta na tailnet ba. Mai masaukin LAN ba zai iya isa overlay ba har sai yana da wannan hanyar, don haka tsalle na gaba a cikin overlay yana da'ira kuma ba ya tura fakitin ko'ina. Wannan kuskure ɗaya yana bayanin yawancin tsare-tsare da suke kama da daidai kuma har yanzu suna gazawa, kuma yana tsira daga kowane bincike da ke karanta teburin na'urar ba da hanya kawai. Rubuta wane wuri ka yi amfani da shi, in ba haka ba mutum na gaba zai gwada wanda ba daidai ba.

Karanta gazawar a matsayin trafik na hanya ɗaya

Alamar ta fi sauƙin ganewa fiye da sanadin: sabis ɗin yana amsa a kan na'urar ba da hanya kanta kuma yana yin shiru daga abokin ciniki na nesa. Ɗaukar hoto a wurin da ake nufi yana nuna buƙatun suna zuwa da amsar suna fita, wanda ke kama da nasara har sai ka lura inda waɗannan amsar suka nufa. Suna zuwa ga ƙofar da aka saba, wanda ke nufin ɓangaren shigowa ya yi aiki kuma ɓangaren komawa bai yi ba.

Ɗauki hoto a kan na'urar ba da hanya maimakon haka, domin tana ganin dukkan ɓangarorin biyu na musayar guda ɗaya kuma tana nuna ko amsa ta taɓa zuwa. Idan amsar ta bayyana a wurin da ake nufi amma ba a taɓa ganin ta a kan na'urar ba da hanya ba, hanyar ta ɓace ko ba daidai ba a gefen wurin da ake nufi. Idan ta bayyana a kan na'urar ba da hanya kuma ta tsaya a can, matsalar tana gaba kuma ta shafi wani bincike dabam.

sudo tcpdump -ni any host 100.64.0.5
ip route get 100.64.0.5

Shin adireshin ainihi ya cancanci hanya

Riƙe SNAT ya kasance amsa mafi sauƙi a duk lokacin da ba za a iya sake daidaita cibiyar sadarwar da ake nufi ba, kuma kuɗin shi ne kowane abokin ciniki yana kama da na'urar ba da hanya a cikin rajistan ayyuka da manufofin wurin da ake nufi. Kashe shi yana da hujja lokacin da manhaja ke bukatar ainihin adireshin asali ko lokacin da manufofin cibiyar sadarwa dole su bambanta abokan cinikin da ke raba na'urar ba da hanya. Dukansu dalilai ne na halal kuma babu ɗaya da ke da kyauta. Amfanin dole ya cancanci kula da hanya a kowace cibiyar sadarwar da ake nufi, tare da bitar firewall da aka bayyana a ƙasa.

Ga ƙaramin LAN ɗaya musayar tana yawan biya, yayin da ga tarin na'urorin da ba za su iya ɗaukar hanya mai tsayawa ba yawanci ba ta biya ba. Rubuta shawarar da dalilin kusa da tsarin na'urar ba da hanya, domin mai gudanarwa na gaba ya san wane hali ne da gangan. Tsohuwar dabi'ar da babu wanda ya rubuta ba za a bambanta ta da sakaci ba.

Firewall, rajista da rawar biyu

Kowace ka'ida da ta dace da adireshin LAN na na'urar ba da hanya yanzu tana dacewa da wani asali dabam, kuma wannan ya haɗa da ka'idodin izini da kowane filin rajista da ya rubuta na'urar a matsayin abokin ciniki. Karanta waɗannan ka'idoji kafin gwaji na farko maimakon bayan gazawar farko, domin ka'idar da ke ba da izini ga adireshin na'urar kawai tana toshe sabon asalin gaba ɗaya. Taƙaita maye gurbin ga abokan ciniki da tashoshin da suke bukata, sannan tabbatar ba ya karɓar dukan tailnet a shiru.

sudo nft list ruleset | grep -n '100\.64'
sudo iptables-save | grep -n '100\.64'

Wuri ɗaya da ke aiki a matsayin wurin fita da kuma na'urar ba da hanya ta subnet lokaci ɗaya haɗi ne da aka rubuta wanda zai iya zubar da trafik na sama da zarar an kashe SNAT na subnet. Raba waɗannan rawar a kan wurare dabam yana kawar da wannan tsokaci kuma yana ba kowace hanya da manufar firewall mai shi ɗaya. Idan dole rawar su kasance tare, yi tsammanin wannan hali kuma gwada shi kafin ka zargi abokin ciniki. Riƙe hanya, saitin maɓalli da rabon rawa a cikin rubutu ɗaya, domin ana karanta su tare lokacin da haɗi na gaba ya gaza.