SNAT, DNAT da Masquerade: abin da kowace ka’idar NAT ta VPN take yi

Sanya rikodaye a ɓangarorin biyu na ƙofar VPN kuma kwarara ɗaya na iya nuna adireshi huɗu daban-daban. NAT na tushe yana sake rubuta inda fakiti ya ce ya fito; NAT na manufa yana sake rubuta inda yake zuwa. Masquerade ba wata hanya ta uku ba ce, ka’ida ce ta NAT na tushe da ke ɗaukar adireshinta daga mu’amalar fita maimakon ƙayyadadden ƙima. Faɗi wanne daga cikin ukun kuke buƙata da gaske kuma yawancin tikiti «VPN ya lalace» za su koma tambaya kan hanyar dawowa.

Abin da kowace ka’ida ke sake rubutawa

NAT na tushe, wanda yawanci ake rubuta SNAT, yana canza adireshin tushe na kwarara yayin da yake barin na’ura mai tuƙi ko ƙofa. Sabis ɗin da ke karɓa yana amsa ga adireshin da aka fassara, kuma akwatin da ke fassara yana mayar da canjin ta amfani da yanayin da ya ajiye don wannan haɗin. A Linux wannan yanayin yana zaune a conntrack, shi ya sa conntrack -L ke buga tup ɗin asali da na amsa gefe da gefe.

NAT na manufa, DNAT, yana canza manufa maimakon haka. Fakitin da aka aika zuwa adireshin jama’a a kan UDP 51820 ana iya sake rubuta shi zuwa sabar WireGuard ta ciki a 10.8.0.2:51820. Haka na’urar tuƙi ta gida ko ma’aunin nauyi na girgije ke wallafa mai sauraron VPN, kuma wannan ba ya faɗin komai game da abin da tunnel ɗin zai iya ɗauka daga baya.

Masquerade na cikin iyalin SNAT. Ka’idar ba ta ambaci wani adireshi; tana amfani da duk adireshin da mu’amalar fita ke da shi lokacin da fakitin ya fita. Linux yana ba ta nata manufa, kuma ita ce zaɓi na yau da kullum a mu’amalar WAN da ke samun adireshinta daga DHCP ko PPPoE.

Inda taswira take shi ke ƙayyade gazawar

Rubuta tup ɗin a kowace iyaka: kafin tunnel, a cikinsa da kan mu’amalar jama’a. Riƙon da aka yi a cikin tunnel ya bambanta bisa doka da wanda aka yi a waje, kuma duk wanda ya kwatanta su biyu ba tare da sanin inda fassarar take ba zai bi diddigin tsayayyen da ba daidai ba.

Traffic na dawowa dole ya wuce ta na’urar da ke riƙe taswirar. Idan amsa ta bi wata hanya, wani haɗin sama na biyu, hanyar manufa ko mai bayarwa da bai taɓa jin labarin yankinku na sirri ba, fassarar juyawa mai yanayi ba za ta taɓa faruwa ba kuma abokin ciniki yana ganin traffic na gefe ɗaya. Ƙara NAT na tushe ba kasafai yake gyara hanyar dawowa da ta ɓace ba; yana iya ɓoye alamar a kan kwarara ɗaya yayin da yake karya manufar tushen adireshi a duk sauran wurare.

Wata kuskure ta yau da kullum ita ce tsammanin tunnel zai haifar da iya tuƙi. Abokin ciniki na sirri wanda fakitinsa ke fita zuwa intanet yana buƙatar ingantaccen tsarin fita: hanyar tsohuwar, ƙofar da ke tura gaba kuma yawanci fassarar tushe zuwa adireshin jama’a. Ƙirƙira ita kaɗai ba ta sa adireshin sirri ya isa ba.

Masquerade ko SNAT bayyananne

Kwatanta su biyun da abin da suke alkawari. Masquerade yana zaɓar adireshin fita, SNAT bayyananne yana ƙulla shi. A kan ƙofar da ke da tsayayyen adireshin jama’a, ƙullawa yana ba da ƙima ɗaya da za a iya hasashe ga rajistoci da jerin izini na abokan hulɗa. A kan hanyar WAN mai canzawa, adireshin SNAT da aka ƙulla yana zama ba daidai ba a lokacin da haya ya canza, kuma Masquerade an gina shi don wannan yanayin ne daidai.

Kewayon yana da muhimmanci kamar zaɓin. Ka’idar Masquerade da ta dace da kowane fakiti da ke barin ƙofar, ba tare da iyakar tushe ko manufa ba, tana kuma fassara traffic ɗin da kuka yi niyyar a bar shi lafiya, ciki har da traffic zuwa wasu cibiyoyin sadarwa na sirri. Iyakance ka’idar ga yankin abokan ciniki, manufar da aka yi niyya da mu’amala.

IPsec na tushen manufa shi ne inda wannan ya fi cizo. Jagorar turawa ta strongSwan tana bin matakin kunna turawar IP da ƙara ka’idar SNAT ta tushe ga abokan ciniki, kuma wannan takardar tana rufe keɓance traffic ɗin da dole ya riƙe ainihin adireshinsa. Fassara tushe kafin manufar tsaro ta same shi kuma tunnel ɗin na iya tashi yayin da traffic ɗin ke ci gaba da faɗuwa, domin fakitin bai sake kama da zaɓaɓɓen da aka tattauna ba.

Yanke shawara kuma abin da ƙarshen nesa ya kamata ya gani. Bayan fassara sabis yana ganin ƙofar, ba abokin ciniki ɗaya ba. Wannan yana sauƙaƙa tuƙin dawowa kuma a lokaci guda yana daidaita rajistoci da karya jerin izini na kowane abokin ciniki. Idan kiyaye adireshin abokan ciniki yana da muhimmanci, tsara hanyar dawowa mai tuƙi maimakon ɓoye su don gwaji ya wuce.

Karanta ka’idoji a ƙofar Linux

Ƙofar shiga nesa da ke da abokan ciniki a 10.8.0.0/24 da mu’amalar WAN mai suna eth0 tana buƙatar turawa a kunne da manufar tacewa da ke ba da izinin kwarara kafin kowace ka’idar NAT ta iya taimakawa. Sigar iptables tana riƙe duka kwatance a cikin teburin nat:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 51820 \
  -j DNAT --to-destination 10.8.0.2:51820

Sigar nftables tana amfani da waɗannan ƙugiya biyu da mu’amala mai suna da sarkar bayyananna:

nft add rule ip nat postrouting ip saddr 10.8.0.0/24 oifname "eth0" masquerade
nft add rule ip nat prerouting iifname "eth0" udp dport 51820 dnat to 10.8.0.2:51820

Duka ɓangarorin biyu suna ɗauka cewa sarkar tacewa ta riga ta karɓi kwararar da aka tura. NAT ba ka’idar izini ba ce, kuma fakitin da aka fassara daidai na iya har yanzu a jefar da shi tebur ɗaya daga baya. Tabbatar da taswirar mai rai da conntrack -L, tabbatar da abin da aka loda da nft list ruleset ko iptables-save -t nat, sannan yi rikodin a kan duka mu’amaloli don ganin adireshin ya canza da gaske.

Hanyoyin gazawa da suke kama da mummunar ka’ida

Traffic ɗin haɗin gashi shi ne na gargajiya. Abokin ciniki na ciki da ke isa sabar ciki ta adireshin jama’a na sabar yana buƙatar DNAT a hanyar shiga da fassarar tushe a hanyar fita dawowa, in ba haka ba sabar tana amsa kai tsaye ga abokin ciniki kuma ana ƙin amsar. Maganin ita ce ka’ida ta biyu, mafi ƙunci, ga wannan yanayin na ciki-zuwa-jama’a, ba faffadar ka’idar Masquerade ga komai ba.

Fassara sau biyu ita ce mai shiru. Abokin ciniki da yake riga a bayan NAT na matakin mai ɗaukar nauyi yana isa ƙofarku da adireshin da ba za ku iya tuƙawa baya ba, don haka kuna sake fassara. Yana aiki, amma rajistoci yanzu suna ɗauke da tsalle biyu na adireshin sirri kuma kowane bincike yana buƙatar duka taswirorin biyu. IPsec na tushen manufa yana ƙara murɗawa ta uku: fassara kafin manufar ta dace kuma kuna samun SA da ke sama ba tare da wani traffic ya wuce ba, abin da ake karantawa a matsayin kuskuren ganuwar wuta ba na NAT ba.

Sannan akwai gwajin da ke wucewa da turawar da ke gazawa. Gudanar da umarnin NAT da hannu yana tabbatar da injin, ba tsarin ba. Ka’idar da aka ƙara a lokacin aiki tana ɓacewa a sake kunnawa ko a taron mu’amala na gaba, kuma ka’idar Masquerade da ke daure da mu’amalar da ke canza lamba na iya canza adireshin da ƙarshen nesa ke gani cikin shiru. Saka ka’idar a cikin tsarin ganuwar wutar da ta mallake ta kuma sake gwadawa bayan sake haɗawa.

Jerin dubawa kafin adana ka’idar

Faɗi kwatance da farko: tushe, manufa ko duka biyu. Sannan gano wanda ya kamata ya riƙe yanayin — ƙofar, na’urar tuƙi ta sama ko abokin IPsec — kuma tabbatar hanyar amsa tana dawowa ta gare shi. Iyakance ka’idar ga yankin abokan ciniki, manufa da mu’amalar da kuke nufi da gaske, kuma yanke shawara tun da wuri ko ƙarshen nesa ya kamata ya ga ƙofar ko ainihin adireshin abokin ciniki.

Gwada daga abokin ciniki, ba daga ƙofar ba. Mai bincike a kan ƙofar kanta na iya tsallake ka’idar fassarar abokin ciniki gaba ɗaya, don haka shafin da ke aiki a can ba ya tabbatar da komai game da tunnel. Aika buƙata ɗaya da ta samo asali daga abokin ciniki, duba ƙididdiga da teburin conntrack, kuma maimaita bayan sake haɗa tunnel da canjin adireshin WAN idan ɗaya daga cikinsu zai yiwu a inda kuke aiki.