Niðstreymisbiðlarar bak við uppstreymis-VPN: leið eða NAT?

Einn gáttvörður keyrir WireGuard fyrir þín eigin tæki og OpenVPN biðlara að neti einhvers annars. Sendingin milli tveggja innri tenginna virkar, og auðvelt er að álykta að niðstreymisundirnetið sé nú hluti af uppstreymisþjónustunni. Það er það ekki. Leið sem biðlarinn dregur segir gáttvörðunum þínum hvert senda skuli beiðnir; hún segir ekkert um hvernig fjarnetið skilar umferð til tækja sem það hefur aldrei heyrt um. Veldu skilamódel sem uppstreymið styður í raun áður en þú bætir við einni einustu reglu.

Ákveddu skilamódelið áður en þú snertir leiðarstillingar

Í þessari leiðsögn nota niðstreymisbiðlarar 10.90.0.0/24, uppstreymisgöngin sem gáttvörðunum er úthlutað er 10.80.0.6, og samþykkt fjartilfang er 172.20.0.30. Tvö módel passa við þessa mynd: varðveita niðstreymisupprunann og fá hina hliðina til að leiða hann, eða þýða upprunann yfir í eigið gönguheimili gáttvarðarins. Allt sem kemur eftir þessa ákvörðun er vélrænt, og ákvörðunin sjálf þarf eiganda þjónustunnar. Ein lína hér að ofan er leiðarsamkomulag við hina hliðina; hin er staðbundin stefnubreyting sem þú getur gert einn. Að rugla þessu tvennu er það sem breytir tíu mínútna breytingu í samningaviðræður.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Veldu eina línu og stauðu við hana. Línurnar eru valkostir, ekki skref, og að blanda þeim gefur hönnun sem enginn getur útskýrt í yfirferð.

Varðveisla uppruna með leið

Hin hliðin tekur við beiðni frá niðstreymisheimili, þannig að hún þarf studda leið og peer-eign fyrir það undirnet, auk heimildar til að samþykkja hana. Þetta eru fjarstillingar, og engin staðbundin Linux-leið býr þær til. Biddu um þær skýrt og skriflega, með forskeytinu og þeim göngupeer sem mun bera hana, og búðu þig við að svarið ráðist af því hvort þjónustan styður yfirhöfuð stað-til-staðar fyrirkomulag.

Ef svarið er já er staðbundin uppsetning lítil: sending virkjuð, allowed-ips WireGuard-peersins sem ná yfir niðstreymissviðið, og eldveggsstefna sem leyfir yfirferðina í báðar áttir.

Vísvitandi upprunatúlkun

Ef þjónustan skilar umferð aðeins til heimilis tengda biðlarans skaltu þýða upprunann yfir í það heimili á leið út og halda conntrack-stöðunni sem snýr honum við fyrir svör. Takmarkaðu regluna við fyrirhuguðu niðstreymisupprunana, fyrirhuguðu fjardestineringarnar og uppstreymistengið. Regla sem þýðir allt sem fer frá hverju tengi er miklu stærri stefna en þessi krafa, og hún kemur þér á óvart síðar.

IPv6 þarf eigin hönnun; að afrita IPv4 masquerade-línu er ekki arkitektúr. Prófaðu þýddu leiðina með nýrri tengingu frekar en skyndiminni.

Staðbundin gagnaleið verður samt að virka

Þýðing fjarlægir ekki staðbundnu vinnuna: gáttvörðurinn þarf enn leið að niðstreymisákvörðunarstöðum, rétta upprunaeign WireGuard-peersins, virkjaða sendingu og þrönga eldveggsstefnu milli tengja. Beiðni sem verður til á gáttvörðunum sjálfum prófar enga þessara heimilda, og þess vegna standast staðbundin próf á gáttvörðunum á meðan niðstreymistæki mistakast enn.

Prófaðu frá raunverulegu niðstreymistæki, ekki frá gáttvörðunum. Upprunsheimilið er allt markmiðið með æfingunni.

Einn uppruni þýðir eitt setuauðkenni

Fjarþjónustan sér auðkennda setu gáttvarðarins og þýdda heimilið hans, ekki sjálfstæða auðkenningu fyrir hvert niðstreymistæki. Haltu heimildum á hvert tæki og auðkennum forrita skýrum, og staðfestu við eiganda þjónustunnar að gáttvörður sem starfar fyrir mörg tæki sé yfirhöfuð leyfður. Þýðing er ekki leið til að komast hjá skráningarkröfu á hvert tæki; ef þjónustan krefst þess að hvert tæki skrái sig, notaðu það módel eða semdu um stað-til-staðar fyrirkomulag.

Skrifaðu þá staðfestingu í runbookið við hlið reglunnar, því næsti yfirferðarmaður mun spyrja hvort hönnunin hafi verið samþykkt eða bara þægileg.

Skilgreindu aftengda stöðu og prófaðu síðan þrjár beiðnir

Ákveddu hvað gerist þegar uppstreymisgöngin detta. Heimilað fjariumferð á ekki að fylgja hljóðlaust venjulegri WAN-varaleið þar sem það er bannað, svo eldveggsstefnan sem leyfir yfirferðina á líka að mistakast lokuð. Prófaðu síðan þrjú tilvik frá raunverulegu niðstreymistæki: heimiluð beiðni sem virkar, óheimiluð beiðni sem mistekst, og uppstreymisbilun sem stöðvar hina heimiluðu.

Skráðu afturköllunina í einni línu fyrir hverja reglu, svo hægt sé að afturkalla breytinguna án þess að endurgera tilganginn.