Abokan ciniki biyu na VPN, adiresoshin jama’a biyu: daidaita SNAT

Abokan ciniki biyu na VPN na iya fita ta adiresoshin IPv4 na jama’a daban-daban guda biyu, kuma ƙa’idar da ke yin haka ta fi guntu fiye da yadda yawancin mutane suke tsammani. Abin da ke sa ta yi aiki ba tsarin rubutun iptables ba ne, sai yanayin fakitin lokacin da ya isa sarkar fita: adireshin tushe a can har yanzu dole ne ya bambanta abokan ciniki. Idan masquerade na baya ya riga ya haɗa su biyu a kan adireshi ɗaya, babu wata ƙa’ida ta kowane abokin ciniki da za ta iya dawo da bambancin. Fara warware wannan tambayar, sannan ka rubuta fassarar.

Wane asali ne ke tsira zuwa ƙofar

Ƙa’idar ta dace da adireshin tushe na fakitin, ba sunan mai amfani na VPN ba kuma ba sunan da manhajar abokin ciniki ke nunawa ba. Duk abin da ke fassara fakitin a baya a kan hanya shi ne ke ƙayyade abin da ƙa’idarka za ta iya gani. Gudanar da teburin nat a jere ka nemo wurin da tushe har yanzu na kowane abokin ciniki ne.

iptables -t nat -S POSTROUTING

Karanta wannan jerin daga sama. Ƙa’idar masquerade kusa da saman tana sake rubuta tushe ga kowane kwarara da ya dace, kuma shigarwar kowane abokin ciniki da aka sanya bayanta tana dacewa da adireshin da babu shi kuma. Lokacin da na’urorin LAN biyu suka raba rami ɗaya kuma suka iso a matsayin adireshin ciki ɗaya, dole ne tsarin ya canza kafin firewall ya yi: ka raba yankunan tushensu ko ka ba kowanne adireshin cikinsa.

Haɗa rabon adireshin ciki da abokin ciniki da aka tabbatar. Ba da wannan adireshin ga wata na’ura yana ba da manufar fita tare da shi, kuma fassarar tushe ita kaɗai ba hujjar ainihi ba ce.

Fassara ba za ta iya ƙirƙirar adireshi ba

Kowane adireshin jama’a dole ne a ba shi ko a tura shi zuwa wannan wurin fita, kuma amsoshin dole su sami hanyar komawa gare shi. Ƙa’idar da ke aika zirga-zirga daga adireshin da babu wanda ke tura shi baya ana jefar da ita a ƙarshen nesa ko a amsa wa wani mai masaukin da bai taɓa neman ta ba. Kwafin mai ba da sabis na girgije yawanci ana fassara adireshinsa na jama’a zuwa adireshin fuska na sirri kafin fakitin ya fita, don haka tushen SNAT dole ne ya zama adireshin da mai ba da sabis zai karɓa, ba ƙimar da console ke nunawa ba. Karanta tsarin adireshin mai ba da sabis ka bi shi maimakon kwafin ƙimar jama’a cikin kowane fakiti.

A aikace wannan yana nufin duba prefix ɗin da aka tura a cikin console na mai ba da sabis kafin ka taɓa firewall, da amfani da adireshin fuska na sirri a matsayin tushen fassara lokacin da taswirar take ɗaya zuwa ɗaya. Adiresoshin da aka yi amfani da su a misalan da ke ƙasa sun fito ne daga yankunan takardu, don haka abu na farko da za a maye gurbinsa shi ne rubutun adireshin da kansa.

Saka kafin masquerade na gama-gari

Tabbatar da fuskar fita da sarkar yanzu kafin ƙara wani abu. Na farko yana ƙayyade waɗanne fakiti ƙa’idar za ta iya dacewa, na biyu kuma yana nuna abin da ya riga ya tsaya a gabanta.

ip -4 route show default
iptables -t nat -L POSTROUTING -n -v --line-numbers

Umarni na farko yana ambaton fuskar da fakitin zuwa intanet yake fita da gaske. Na biyu yana buga sarkar tare da lambobin layi. Shigarwar masquerade ta gama-gari ita ce layin da ya kamata ka tsaya a sama da shi.

iptables -t nat -I POSTROUTING 1 -s 10.88.4.20/32 -o ens3 -j SNAT --to-source 198.51.100.77
iptables -t nat -I POSTROUTING 1 -s 10.88.4.21/32 -o ens3 -j SNAT --to-source 198.51.100.78

Ƙa’idodin biyu na sama kowanne yana dacewa da adireshin ciki ɗaya, suna iyakance dacewar ga fuskar fita kuma suna saita tushe a fili. Saka maimakon ƙarawa: a matsayi na 1 ana kimanta su kafin layin masquerade. Tsari tsakanin su biyu ba shi da mahimmanci saboda tushensu ya bambanta. Maye gurbin ens3 da abin da umarnin hanya ya bayar, kuma ka nisantar da sauran manajojin firewall daga wannan ƙugiya, domin kayan aiki biyu da suke rubuta tebur ɗaya shine dalilin da ya saba sa ƙa’ida mai kyau ta kasa yin tasiri.

Tabbatar da tushe da sabon kwarara

NAT mai yanayi yana ɗaure fassara lokacin da kwarara ta fara kuma yana sake amfani da ita ga fakiti na gaba, don haka zaman da aka buɗe kafin canjin yana riƙe da tsohon tushensa bayan canjin. Sabuwar hanyar da aka fara ne kawai ke tabbatar da ƙa’idar.

conntrack -L -s 10.88.4.20 -p tcp --dport 443

Karanta hanyar amsa ta wannan shigarwar: inda take ita ce adireshin da ƙarshen nesa ke gani a matsayin tushe. Kwatanta shi da adireshin jama’a da kake nufi, kuma ɗauki shigarwar da ke ɗauke da tsohon adireshi a matsayin hujjar kwararar da ta fara da wuri, ba ƙa’ida da ta lalace ba. Ka ce abokin ciniki ya buɗe sabuwar hanyar sadarwa, sannan ka maimaita tambayar. Share dukan teburin bin diddigin don tilasta gwajin yana katse kowane zaman da ke kan ƙofar.

Fassara har yanzu ba ta zaɓar hanya, ba ta barin kwarara ta cikin tacewa kuma ba ta wallafa sabis mai shigowa. Hanya mara kyau da ƙa’idar izini da ta ɓace suna ci gaba da gazawa bayan cikakkiyar ƙa’idar SNAT. Duba IPv6 da duk wata hanya ta fita ta biyu, sannan ka rubuta ma’auratan ciki-zuwa-jama’a a cikin takardun firewall domin canji na gaba ya fara daga taswirar maimakon daga rubutun ƙa’idar.