Masquerade vagy házirend-alapú útválasztás: LAN-forgalom VPN-átjárón keresztül

Egy egész LAN-t VPN-alagút mögé tenni a könnyű rész; eldönteni, hogyan látja a távoli oldal ezeket a klienseket, már nem az. A masquerade minden LAN-forrást az átjáró alagútcímére ír át, így a távoli vég egyetlen peernek válaszol. A házirend-alapú útválasztás megtartja az eredeti címeket, és megköveteli, hogy a távoli oldal tudja, hogyan érheti el őket. Egyik sem alapértelmezés; a választás abból következik, kié a távoli oldal, és hogy számít-e az eszközönkénti identitás.

A két terv különböző dolgokat ígér

A masquerade a LAN-t egyetlen látható hosztra csökkenti: az átjáróra. A távoli hálózat erre az egy címre válaszol, az átjáró pedig visszafordítja a válaszokat ahhoz a klienshez, amelyik a folyamot indította. A távoli oldalon nincs szükség útvonalra a privát prefixeidhez, ezért ez a terv olyan szolgáltatónál is fennmarad, amely megtagadja azok továbbítását. Az átjáró minden kapcsolat forrásává is válik, így a távoli oldal nem tud két klienst megkülönböztetni.

A házirend-alapú útválasztás érintetlenül hagyja minden kliens címét. A távoli hálózat látja a tényleges forrást, és naplózhatja, hosztonkénti szabályt alkalmazhat, vagy a választ közvetlenül arra a címre küldheti. Ez a láthatóság a lényeg, és kötelezettséggel jár: a távoli oldalnak útvonalra van szüksége a LAN-prefixhez, amely visszafelé mutat az alagúton. Tervezd meg ezt az útvonalat, mielőtt engedélyezed a szabályt, mert az alagút így is feljön, és csak a válaszok fognak hiányozni.

A hiba módjai ugyanannyira különböznek, mint az ígéretek. A hiányzó masquerade-szabály olyan csomagokat eredményez, amelyek privát forrással mennek ki, és soha nem térnek vissza. A hiányzó visszatérési útvonal ugyanezt a tünetet adja házirend-alapú útválasztásnál, de a javítás a távoli routerre tartozik, nem az átjáróra.

Masquerade: egy peer a távoli oldalon

A masquerade útvonalának van egy sorrendje, amely számít. A továbbítást engedélyezni kell, mielőtt bármely NAT-szabály hasznot hozna, a szűrőtáblának mindkét irányban engednie kell az átjárást, és csak ezután érvényesül a fordítás az alagút interfészén.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

A klienseknek továbbra is szükségük van útra az átjáróhoz. Vagy az átjáró az alapértelmezett routerük, vagy konkrét útvonalat visznek a távoli prefixhez; ha külön router marad az alapértelmezett, annak a routernek statikus útvonalra van szüksége az alagút célpontjaihoz, különben a csomag a rossz ugráshoz megy, mielőtt az átjáró látná.

A DNS külön döntés. A távoli oldali feloldó csak akkor válaszol, ha válasza vissza tud utazni a klienshez. Masquerade alatt a lekérdezés úgy tűnik, mintha az átjárótól jönne, így a feloldó visszatérési útja már teljesül; házirend-alapú útválasztásnál a feloldónak ugyanarra a visszatérési útvonalra van szüksége, mint bármely más távoli szolgáltatásnak.

Házirend-alapú útválasztás: tartsd meg a forrást, adj hozzá visszatérési utat

A házirend-alapú útválasztás egy táblával és egy azt kiválasztó szabállyal kezdődik. A LAN-interfészről belépő forgalom egy dedikált táblába kerül, és az a tábla alapértelmezett útvonalat visz az alagúton át. A fő tábla érintetlen marad, így az átjáró által létrehozott forgalom más útvonalat követhet.

ip rule add iif eth1 table vpn
ip route add default dev tun0 table vpn

Ezután a távoli oldalnak vissza kell útválasztania a LAN-prefixet az alagúton. Ez a távoli router beállítása, nem ezé az átjáróé. Az átjárónak el kell fogadnia olyan válaszokat is, amelyek más interfészen érkeznek, mint amit a fő tábla előre jelezne; a laza fordított útvonal szűrés (rp_filter 2-re állítva) a szokásos módosítás, amikor a szigorú mód eldobja ezeket a csomagokat.

Ha két alagút aktív, címkézd meg az egyes folyamokat belépéskor, és hagyd, hogy a címke válassza ki a táblát. Az a szabály, amely csak a bemeneti interfészre néz, mindkét alagút forgalmát ugyanabba a táblába küldi, így a második alagút ellopja az első folyamait. Teszteld a címkét olyan kapcsolattal, amely túléli az újracsatlakozást, mert akkor mutatkozik meg a kevert házirend.

A tulajdon és a távoli oldal naplózása alapján dönts

Ha az alagút szolgáltatónál végződik, használj masquerade-et. Az az üzemeltető nem fogja a privát LAN-tartományaidat útválasztani, és nincs oka megkülönböztetni az átjáród mögötti egyes klienseket. Egy látható peer az egyetlen modell, amelyet a házirendje támogat, ezért add neki azt, és tartsd a fordítást a saját peremeden. A szolgáltató egy peert lát, ami pontosan az, amit a házirendje vár, és a klienseid öröklik ezt az egyetlen identitást.

Ha mindkét vég a tiéd, és a távoli szolgáltatások forráscímek alapján döntenek, a házirend-alapú útválasztás kiérdemli a plusz útvonalát. A tűzfal-szabályok, a felhasználónkénti hozzáférés és az auditnaplók ekkor megkülönböztethetik a klienseket. Ha a távoli oldalnak csak elérhetőségre van szüksége, a masquerade egyszerűbb, és kiküszöböli a visszatérési útvonal hibáinak egy egész osztályát.

A hibrid tervek normálisak: házirend-alapú útválasztás a saját hálózatodon belül, masquerade a szolgáltató peremén. Az a fontos, hogy írd le, melyik ugrás fordít és melyik ugrás útválaszt, mert az egy klienshez véletlenül hozzáadott NAT-szabály minden kliens elől elrejti a forrást ugyanabban a láncban.

Ellenőrizd egy kliensről, majd egy második kliensről

Futtasd a tesztet ott, ahol a forgalom elindul. Ellenőrizd a hoszt által használt útvonalat, figyeld, ahogy a csomag megjelenik az alagút interfészén, és vizsgáld meg a conntracket a fordítás miatt. Ez a sorrend bizonyítja, hogy a csomag a szánt útvonalat vette, nem csak valahova megérkezett.

Ismételd meg a tesztet újracsatlakozás után. Az interfészt megnevező masquerade-szabály túléli az új alagútcímet; a régi címet megnevező szabály nem. Ezután tesztelj egy második LAN-hosztot, mert az egy gépen működő terv gyakran annak a gépnek a saját útvonalától függ, nem az átjáró házirendjétől.

Írd fel a választott modellt, a fordított vagy megőrzött forrást és a visszatérési útvonal tulajdonosát az átjáró jegyzeteibe. Különben a következő ember, aki klienst vagy alagutat ad hozzá, találgatni fog, és a találgatás az, ahogy egy működő LAN-VPN beállítás részlegessé válik.