Buga sabis na LAN a kan adireshin kofar VPN da kanta

Gabatar da na'urar LAN a daya daga cikin adiresoshin rami na kofar da kanta yana bukatar layi daya na NAT. Haɗin yana ci gaba da kasawa, domin na'urar da ke amsawa ba ta san cewa ana iya isa adireshin abokin ciniki ta wannan kofar ba. Bi fakitin daga abokin ciniki zuwa ciki, sannan bi amsar a koma waje, kuma rabin da ya ɓace zai bayyana.

Fara daga ra'ayin abokin ciniki

Abokin ciniki a wannan misali yana cikin tafkin VPN 10.62.0.0/24 kuma yana haɗawa da 10.62.0.1 a tashar 8080. Wannan adireshin na kofar da kanta ne, don haka fakitin yana isa zuciyar kofar ba wani abokin haɗin ba. A bayan kofar, LAN ita ce 172.21.4.0/24. Kofar tana riƙe da 172.21.4.10, kuma na'urar da ke ba da HTTP a zahiri ita ce 172.21.4.40.

Adireshin da ke na wani abokin haɗin VPN ba ya musanya da adireshin sabis na kofar. Idan abokin ciniki yana haɗawa da adireshin abokin haɗin, babu wata ka'idar kofa da ta shiga ciki kwata-kwata, kuma duk wannan tafiya ta ƙarya ce.

Iyakance fassarar manufa da gangan

Sigar ƙunƙuntar tana gabatar da tasha ɗaya kuma tana sake rubuta manufa kawai. Fakitin yana riƙe da ka'idarsa da tushensa, kuma wannan ne ya sa sauran tafiyar ta zama mai ban sha'awa.

iptables -t nat -A PREROUTING -i tun0 -s 10.62.0.0/24 -d 10.62.0.1 -p tcp --dport 8080 -j DNAT --to-destination 172.21.4.40:80

Ka'ida ba tare da ma'aunin ka'ida da tasha ba ita ce sigar faɗaɗɗa: tana riƙe da duk tashar da abokin ciniki ya zaɓa yayin da kawai yake canza adireshin. Wannan ya halatta idan ana son gabatar da dukan mai masaukin, kuma ba daidai ba idan sabis ɗaya ne ake nufi. Sake karanta ka'idar kuma tabbatar da sunan muƙaƙƙar sadarwa. Ka'idar DNAT a kan muƙaƙƙar da ba daidai ba ba ta dace da kome, wanda ke haifar da lokacin ƙarewa ɗaya da ka'idar da ta ɓace kuma yana ɓarnatar da awa ɗaya ana kallon na'urar.

Bari iyakar turawa gaba ta yarda

Fassara tana canza kan magana, ba ta ba da izini ba. Tare da manufar watsi ta asali, kwararar da aka tura gaba tana bukatar nata yarda, kuma alkiblar dawowa tana bukatar ka'idar haɗin da aka kafa wadda manufarka mai yiwuwa tana da ita.

iptables -A FORWARD -i tun0 -o lan0 -d 172.21.4.40 -p tcp --dport 80 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Yarda ba tare da sharadi ga kowace kwarara ta DNAT ta fi wannan ƙira faɗi kuma za ta ba da izinin taswirar da wani zai ƙara daga baya. Faɗi manufa da tashar, kuma bar sauran a rufe. Idan ƙididdiga a kan ka'idar turawa gaba sun kasance sifili yayin da ƙididdigar NAT ke tashi, ana watsar da fakitin kafin ka'idarka. Karanta tsarin sarkar maimakon ƙara kwafi na biyu.

Dole ne na'urar ta amsa ko ta yaya

Bayan fassara na'urar tana ganin tushe a cikin 10.62.0.0/24. Amsarta tana zuwa kofarta ta asali, wadda ita ce na'urar tafiyar da LAN, ba kofar VPN ba, sai dai idan wani abu ya gaya mata akasin haka. Shirye-shirye biyu suna gyara hakan kuma ba daidai suke ba. Hanya a kan na'urar ko a kan na'urar tafiyar da LAN tana aika 10.62.0.0/24 zuwa 172.21.4.10 tare da kiyaye tushen abokin ciniki. Iyakantaccen fassarar tushe yana ɓoye abokin ciniki a bayan adireshin LAN na kofar maimakon haka.

ip route add 10.62.0.0/24 via 172.21.4.10 dev eth1
iptables -t nat -A POSTROUTING -s 10.62.0.0/24 -d 172.21.4.40 -o lan0 -p tcp --dport 80 -j SNAT --to-source 172.21.4.10

Zaɓi bisa ga abin da sabis ɗin yake bukata. Manufar kowane abokin ciniki da rikodin masu ma'ana suna son sigar da aka tura, yayin da na'urar da ba za a iya ba ta hanya ba, ko sabis ɗin da dole ne ya ga adireshin LAN, suna nuni ga sigar da aka fassara. Kada ka kai hannu ga ka'idar masquerade ta duniya don amsa ɗaya ta yi aiki. Tana ɓoye kowane abokin ciniki daga kowace manufa kuma tana karya manufofin da suka dogara da adiresoshin tushe a shiru.

Kada ka gwada daga kofar da kanta

Buƙatar da aka kirkira a kan kofar zuwa 10.62.0.1 tana fita ta sarkar OUTPUT, ba ta PREROUTING mai shigowa ba. Rashinta ko nasararta ba ta faɗi komai game da ka'idar da ke fuskantar abokin ciniki ba, kuma haka mutane suke yanke hukuncin cewa ka'idar da ke aiki ta lalace.

conntrack -L | grep 172.21.4.40
tcpdump -ni any 'port 8080 or port 80'

Gudanar da ainihin buƙatar abokin ciniki kuma karanta duka biyu. Shigarwar conntrack tana nuna fassarar da aka yi amfani da ita, kuma hotunan da aka ɗauka suna nuna ko buƙatar ta wuce zuwa LAN da ko amsa ta dawo zuwa rami. Yi amfani da sabon haɗi bayan canza ka'idoji, domin yanayin da ke akwai yana riƙe da taswirarsa ta baya kuma zai ci gaba da kasawa a tsohuwar hanya. Sannan tabbatar da dukkan tattaunawar: adireshin na'urar, izinin turawa gaba da hanyar amsa duk suna bayanin kwarara ɗaya.