Bayan canjin IP na sabar, dokar SNAT har yanzu tana ambaton tsohuwar

Sabar ta ƙaura zuwa sabon adireshi, abokan ciniki suna haɗawa har yanzu, kuma babu abin da suke aikawa da ke isa intanet. Wannan rabuwa ita ce alamar: soket ɗin sauraro da tura ƙofa sun tsira daga ƙaura, don haka tunel ɗin yana tashi, yayin da fassarar tushe da ake yi wa fakiti da aka tura gaba har yanzu tana ambaton adireshin da mai masaukin ba ya mallaka. Amsoshin waɗannan fakiti da aka sake rubutawa suna zuwa wata na'ura da ba ta nan kuma.

Haɗawa da tura gaba suna gazawa a wurare daban-daban

Kafawa ya dogara da ƙarshen wurin da abokan ciniki suka riga suka sani: adireshin jama'a, tura ƙofar da ke gabansa, da mai sauraro a ciki. Fakitin da aka tura gaba ya dogara da wata shawara ta biyu da ake yi bayan fakiti ya shiga tunel ɗin, lokacin da mai masaukin ya sake rubuta tushensa domin amsoshi su sami hanyar dawowa.

Canjin adireshi yana karya shawara ta biyu kawai, shi ya sa ake karanta alamar a matsayin "an haɗa amma babu intanet". Hakan kuma yana bayyana dalilin da ya sa dubawa na yau da kullum a gefen abokin ciniki suke kama da lafiya: musafaha yana kammalawa, abokin ciniki yana samun adireshi, har ma ping zuwa adireshin tunel na sabar na iya amsawa. Ana kashe sa'o'i a kan abokin ciniki saboda matsala da ke zaune a wancan gefen, shi ya sa teburin dokoki shi ne wuri na farko da za a duba.

Karanta dokar da masu ƙididdiganta kafin gyara

Jeranta dokokin fassara tare da masu ƙididdiga sannan ka kwatanta tushen da aka saita da adireshin da mai masaukin yake da su a zahiri. Dokar da aka sake rubuta zuwa matacciyar adireshi yawanci tana nuna zirga-zirga a hanyar shiga, domin fakiti suna isa gareta kuma ana fassara su, kuma babu komai a hanyar dawowa.

sudo iptables -t nat -L POSTROUTING -n -v --line-numbers
ip -4 addr show

Duba filaye uku yayin da kake can: tafkin da ke cikin daidaiton tushe, ƙofar fita idan dokar ta ambaci ɗaya, da keɓancewar da ke hana zirga-zirgar tunel-zuwa-tunel sake rubutawa. Wannan keɓancewar tana da sauƙin ɓacewa yayin gyara, kuma ɓacewarta tana sa zirga-zirgar tsakanin takwarorina ya yi kama da aiki yayin da amsoshinsa ke bin wata hanya mai ban mamaki.

Idan masu ƙididdiga sun tsaya a sifili, fakiti ba sa taɓa isa wannan dokar kuma adireshin ba shine matsalar yanzu. Nemo wata doka mai gasa a baya cikin sarkar, abin da ke faruwa lokacin da wani ya ƙara maye gurbi maimakon gyara ainihin. Kwatanta lambobin dokoki da fitarwar da ka rubuta minti ɗaya da ya wuce. Tsari wani ɓangare ne na saitin, ba cikakken bayani na ado ba.

Maye gurbin tushen, ko ka daina ambaton ɗaya

Lokacin da mai masaukin yana da tabbataccen adireshi, maye gurbin dokar a wurinta maimakon ƙara wata. Maye gurbi ta lambar doka yana kiyaye tsarin da sauran sarkar suka dogara da shi.

sudo iptables -t nat -R POSTROUTING 1 -s 10.8.0.0/24 ! -d 10.8.0.0/24 -j SNAT --to-source 10.151.0.40

Lokacin da ake ba da adireshin a hankali, kada ka ambaci kowane tushe kuma bar kernel ya zaɓi na yanzu daga ƙofar fita. Wannan bambancin yana tsira daga ƙaura ta gaba ba tare da gyara ba, a kan kuɗin ɓoye wane adireshi aka yi amfani da shi.

sudo iptables -t nat -R POSTROUTING 1 -s 10.8.0.0/24 ! -d 10.8.0.0/24 -o eth0 -j MASQUERADE

Tabbatar cewa tura gaban IPv4 har yanzu yana kunne ta hanyar saitin da ake sarrafawa, sannan ka mai da dokar dindindin da tsarin rarraba kanta. Canjin da aka yi a cikin kernel mai gudana kawai yana dawowa da sake kunnawa na gaba, yawanci a cikin taga kulawa da babu wanda ke haɗa canjin da ita.

Hanyoyi biyu na yin maye gurbin ba daidai ba

Fassara tafkin zuwa adireshin tunel na sabar maimakon adireshin LAN ɗinsa yana tura amsoshi kai tsaye cikin tunel ɗin, inda ake tura su zuwa ga abokin ciniki wanda bai taɓa neman su ba. Haɗin yana tsayawa ta hanyar da take kama da madaukin turawa, domin madauki ne.

Tara wata fassara a kan tsohuwar ita ce ɗayan kuskuren. Dokar farko da ta dace ita ce ke cin nasara, don haka tsohuwar shigarwar tana ci gaba da sarrafa fakiti har sai an goge ta, kuma masu ƙididdigar sabuwar dokar suna zama a sifili yayin da kowa ke zargin maye gurbin. Goge kwafin kafin ƙara wani sabon abu. Sannan karanta jerin sau ɗaya kuma tabbatar cewa fassara ɗaya ce kawai ta dace da tafkin.

Idan tunel ɗin yana ɗaukar IPv6 kuma, sake maimaita dukkan bita a kan ɗayan tarin. Hanyar da aka saba ta IPv6 ba tare da fassara ba kuma ba tare da prefix ɗin da aka tura ba tana gazawa cikin shiru, kuma yana da sauƙin mantawa domin duk abin da ke sama yana kama da ɗaya.

Sabis ɗin shigowa suna buƙatar akasin fassarar

Sabis a kan abokin ciniki na VPN wanda dole ne a iya isa shi daga waje yana buƙatar fassarar manufa, ba fassarar tushe ba: ana sake rubuta tashar jama'a zuwa adireshin tunel na abokin ciniki kafin ya shiga. Sannan hanyar tura gaba tana buƙatar bayyanannen doka da ke ba da izinin wannan zirga-zirga.

sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 10.9.8.2:8080

Kada ka taɓa fassara tashar da ke ɗaukar tunel ɗin kansa, domin wannan sake rubutawa yana katse haɗin da ke riƙe sabis ɗin ana iya isa shi. Ka riƙe tashar tunel gaba ɗaya daga dokokin manufa. Sannan tabbatar daga ɓangarori biyu: masu ƙididdiga a kan sabuwar doka, ɗan gajeren rikodi a na'urar tunel, da buƙata ɗaya zuwa adireshi cikin tunel kafin ka gwada ta jama'a.