Yi tuƙi tsakanin LAN masu zaman kansu kafin ka ƙara wani NAT

Garkunan wuta biyu na ciki, yanki ɗaya na wucewa mai zaman kansa, da roƙon barin wasu masu masauki a kowace LAN su yi magana da na ɗayan. Abin da aka saba yi shi ne kafa VPN ko ƙara wani rufin NAT na biyu, kuma dukansu suna kashe fiye da abin da matsalar ta cancanci. Tuƙi na yau da kullum ya isa idan sharuɗɗa uku sun cika: zangon adireshi ba sa haɗuwa, ɓangarorin biyu na iya mayar da zirga-zirga zuwa ɗayan LAN, kuma an amince da yankin wucewa don bayanan. Duba waɗannan uku kafin ka tsara komai, domin kowanne yana canza amsar.

Shaɗuɗɗa uku da suke yanke shawarar ƙira

Sharɗi na farko shi ne wurin adireshi. Idan duka LAN biyu suna amfani da rukunin RFC 1918 ɗaya, tuƙi ba zai iya bambanta su ba kuma fassarar ta zama tilas maimakon zaɓi. Na biyu shi ne hanyar dawowa: hanyar daga A zuwa B ba ta da amfani sai B ya kuma san yadda zai isa LAN na A, kuma ilimin da bai daidaita shi ne dalilin da ya fi yawa da ƙirar tuƙi ke watsar da amsoshi cikin shiru.

Na uku shi ne amincewa. Tuƙi yana motsa fakiti; ba ya kare su. Yankin wucewa mai zaman kansa a cikin gini ɗaya ya bambanta da miƙawa ga mai bayarwa ko hanyar da ta ratsa babban ɓangaren harabar da aka raba. Idan ba a amince da yankin ba, amsar ita ce rami tsakanin garkunan wuta biyu, kuma shirin tuƙi na ƙasa yana aiki a cikinsa.

Ƙirar mai sauƙi tana cin nasara ne kawai idan duka uku sun nuna hanya ɗaya. Idan ɗaya ya kasa, gyara wannan sharɗin a fili maimakon rufe shi da fassara, domin NAT yana ɓoye gazawar maimakon warware ta.

Gina shirin hanya a kan cibiyar wucewa

Ba kowane garkuwar wuta adireshi a yankin da aka raba kuma ƙara hanya ta musamman ga kowace LAN mai nisa. Babu wani abu a cikin tsarin da ke akwai da zai motsa, kuma musamman hanyar da aka saba ta intanet dole ta tsaya daidai inda take. Maye gurbin hanyar da aka saba da garkuwar wutar abokin zai aika kowace manufa da ba ta da alaƙa ta hanyar wucewa, wanda shine babban canji fiye da wanda ake roƙo. Takardar pfSense kan tuƙi mai tsayawa ta bayyana irin wannan tsarin hanya-da-ƙofa ga wannan dandali, kuma akwai daidaitaccen iko a kowace garkuwar wuta da kake amfani da ita.

Garkuwar wuta A tana hidimar 10.30.0.0/24 kuma garkuwar wuta B tana hidimar 10.40.0.0/24, tare da adireshin wucewa biyu a kan 192.0.2.0/24. Kowace mai masaukin LAN yana riƙe garkuwar wutarsa ta gida a matsayin ƙofa, don haka sabon yanayi ɗaya ne kawai: hanya ɗaya a kowane ɓangare. A kan garkuwar wuta da ta dogara da Linux irin wannan shirin yana kama da haka, kuma dole a kunna tura gaba in ba haka ba hanyar za ta warware yayin da ake jefar da fakitin.

sysctl -w net.ipv4.ip_forward=1
ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1
ip route get 10.40.0.15
traceroute -n 10.40.0.15

Ka raba tacewa da fassara

Tuƙi da manufa iko ne daban-daban, kuma a na biyun ne yawancin ƙirar tuƙi ke kasa da gaske. Ka ba da izini ga takamaiman tushe, manufofi da ayyuka a iyakar shiga da fakiti ke wucewa da gaske, kuma ka tuna cewa alamar mu'amala kamar WAN suna ne, ba magana ba ce kan amincewa. Ƙofar wucewa da ke ɗauke da zirga-zirgar zaman kansa na iya kasancewa da toshewar adireshin zaman kansa a natse.

Sannan ka duba fassarar fita kafin ka yanke shawarar cewa babu NAT. Dokokin fita na atomatik na iya sake rubuta zirga-zirgar da ba a taɓa nufin fassara ba, kuma hakan yana lalata adireshin tushe da ɓangaren da ke gaba yake buƙata don manufarsa da rajistarsa. Tabbatar da cewa zaɓaɓɓun kwararar suna riƙe adireshinsu na asali, kuma ka bar dokokin fassarar intanet su tsaya ga zirga-zirgar da har yanzu suke buƙata.

iptables -t nat -S POSTROUTING
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni eth1 -c 5 host 10.40.0.15

Lokacin da NAT shine amsar gaskiya

Fassara tana samun matsayinta lokacin da zangon adireshi suka haɗu da gaske kuma babu sake lambobi, ko kuma lokacin da manufa ta buƙaci ɓangare ɗaya ya ga adireshi ɗaya maimakon ƙaramin cibiyar sadarwa. A irin waɗannan lokuta, yin taswira da gangan ɗaya-zuwa-ɗaya ko ta ƙofofi shine shawarar ƙira da fitattun sakamako, ba hanyar kuɓuta ba.

Sakamakon da ya kamata a faɗa da babbar murya shi ne cewa ɓangaren da ke gaba ba zai iya ganin ko tace tushe ɗaya-ɗaya ba kuma. Rajista suna durƙushewa zuwa adireshin da ke fassara, manufar kowane mai masauki ta daina aiki, kuma magance matsala ya zama farautar wane mai masaukin ciki ya mallaki kwarara a wani lokaci. Idan babu ɗaya daga cikin waɗannan da ya shafi zirga-zirgar, NAT ba shi da matsala.

Lokacin da wucewar kanta ita ce zato mara kyau

Idan yankin da aka raba ya ratsa mai bayarwa, masana'antar sauya da aka raba, ko kowace hanya da wani ɓangare zai iya karanta zirga-zirgar, tuƙi shi kaɗai ba cikakkiyar amsa ba ce. Rami tsakanin garkunan wuta biyu yana ba ka sirri da tabbatar da abokin gaba, kuma teburin hanya a cikinsa shine teburin da za ka rubuta a kan wucewa.

Yanke shawara daga tambayar amincewa a sashe na farko, ba daga al'ada cewa VPN sun fi tsaro ba. Rami a kan yankin da ya riga ya kasance mai zaman kansa yana ƙara kuɗin gudanarwa da wani yanayin gazawa ba tare da riba ba, yayin da tuƙi a kan yankin da ba a amince da shi ba yana musanya sirri da sauƙi da ba za ka iya biya ba. Rubuta wane sharɗi daga cikin ukun ya jagoranci zaɓin, kuma injiniyan da ke gaba ba zai buƙaci sake tattauna shi ba.