Masquerade eða stefnumiðuð leiðsögn: LAN-umferð um VPN-gátt

Að setja heilt LAN bak við VPN-göng er auðveldi hlutinn; að ákveða hvernig fjarlæga hliðin sér þessa biðlara er það ekki. Masquerade endurskrifar hvert LAN-upptök í göngufang gáttarinnar, svo fjarlægi endinn svarar einum jafningja. Stefnumiðuð leiðsögn heldur upprunalegu föngunum og krefst þess að fjarlæga hliðin viti hvernig á að ná þeim. Hvort tveggja er ekki sjálfgefið; valið ræðst af því hver á fjarlægu hliðina og hvort auðkenni hvers tækis skipti máli.

Hönnuðirnir tveir lofa mismunandi hlutum

Masquerade einfaldar LAN-ið niður í einn sýnilegan hýsil: gáttina. Fjarlæga netið svarar þessu eina fangi, og gáttin þýðir svörin til baka til biðlarans sem hóf flæðið. Engin leið að einkaforskeytunum þínum þarf á fjarlægu hliðinni, og þess vegna lifir þessi hönnun af hjá veitanda sem neitar að flytja þau. Gáttin verður líka upptök hverrar tengingar, svo fjarlæga hliðin getur ekki greint tvo biðlara.

Stefnumiðuð leiðsögn heldur fangi hvers biðlara ósnortnu. Fjarlæga netið sér raunverulegu upptökina og getur skráð hana, beitt reglu fyrir hvern hýsil eða sent svarið beint á það fang. Þessi sýnileiki er allt málið, og hann fylgir skilyrði: fjarlæga hliðin verður að hafa leið fyrir LAN-forskeytið sem vísar til baka gegnum göngin. Skipuleggðu þá leið áður en þú virkjar regluna, því göngin koma upp hvort sem er og aðeins svörin munu vanta.

Bilunarmátarnir eru jafn ólíkir og loforðin. Vantað masquerade-regla framleiðir pakka sem fara út með einkaupptókum og koma aldrei til baka. Vantað endurkomuleið framleiðir sömu einkenni við stefnumiðaða leiðsögn, en viðgerðin heyrir til fjarlæga beinisins, ekki gáttarinnar.

Masquerade: einn jafningi á fjarlægu hliðinni

Slóð masquerade hefur röð sem skiptir máli. Virkja verður framsendingu áður en nokkur NAT-regla gerir gagn, síutöflunni verður að leyfa gegnumstreymi í báðar áttir, og aðeins þá gildir þýðingin á gönguviðmótinu.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Biðlarar þurfa enn slóð að gáttinni. Annaðhvort er gáttin sjálfgefni beinir þeirra, eða þeir bera sérstaka leið fyrir fjarlæga forskyttið; ef sér beinir er áfram sjálfgefinn þarf sá beinir fasta leið fyrir áfangastaði gagnanna, annars fer pakkinn á rangt stökk áður en gáttin sér hann.

DNS er sérstök ákvörðun. Uppflettir á fjarlægu hliðinni svarar aðeins ef svar hans getur ferðast til baka til biðlarans. Undir masquerade virðist fyrirspurnin koma frá gáttinni, svo endurkomuleið uppflettisins er þegar fullnægt; undir stefnumiðaðri leiðsögn þarf uppflettirinn sömu endurkomuleið og hver önnur fjarlæg þjónusta.

Stefnumiðuð leiðsögn: haltu upptökunum, bættu við endurkomuleið

Stefnumiðuð leiðsögn byrjar á töflu og reglu sem velur hana. Umferð sem kemur inn frá LAN-viðmótinu er send í sérstaka töflu, og sú tafla ber sjálfgefna leið gegnum göngin. Aðaltaflan helst ósnortin, svo umferð sem gáttin sjálf býr til getur farið aðra slóð.

ip rule add iif eth1 table vpn
ip route add default dev tun0 table vpn

Fjarlæga hliðin verður þá að leiða LAN-forskeytið til baka gegnum göngin. Það er stilling á fjarlæga beininum, ekki á þessari gátt. Gáttin verður líka að taka við svörum sem berast á öðru viðmóti en aðaltaflan myndi gera ráð fyrir; slök andhverf slóðarsíun (rp_filter stillt á 2) er venjuleg aðlögun þegar strangt ham sleppir þessum pökkum.

Þegar tvö göng eru virk, merktu hvert flæði við inngöngu og láttu merkið velja töfluna. Regla sem lítur aðeins á inntaksviðmótið sendir umferð beggja ganga í sömu töfluna, svo seinna gengið stelur flæðum frá hinu fyrra. Prófaðu merkið með tengingu sem lifir endurtengingu, því þá kemur blönduð stefna í ljós.

Ákveddu eftir eignarhaldi og eftir því hvað fjarlæga hliðin skráir

Ef gengið endar hjá veitanda, notaðu masquerade. Sá rekstraraðili mun ekki leiða einkaLAN-sviðin þín, og hann hefur enga ástæðu til að greina einstaka biðlara bak við gáttina þína. Einn sýnilegur jafningi er eina módelið sem stefna hans styður, svo gefðu honum það og haltu þýðingunni við þinn brún. Veitandinn sér einn jafningja, sem er einmitt það sem stefna hans býst við, og biðlararnir þínir erfa það eina auðkenni.

Ef báðir endar eru þínir og fjarlægu þjónusturnar bregðast við upptökuföngum, á stefnumiðuð leiðsögn skilið fyrir auka leiðina sinni. Eldveggjarreglur, aðgangur hvers notanda og endurskoðunarskrár geta þá greint biðlara. Ef fjarlæga hliðin þarf aðeins aðgengi er masquerade einfaldara og fjarlægir heilan flokk endurkomuleiðarvillna.

Blendingshönnun er eðlileg: stefnumiðuð leiðsögn innan þíns nets, masquerade við brún veitandans. Það sem skiptir máli er að skrifa niður hvaða stökk þýðir og hvaða stökk leiðir, því óviljandi NAT-regla sem bætt er við fyrir einn biðlara felur upptökin fyrir hvern biðlara í sömu keðju.

Staðfestu frá einum biðlara, svo frá öðrum biðlara

Keyrðu prófið þar sem umferðin byrjar. Athugaðu leiðina sem hýsillinn notar, fylgstu með pakkanum birtast á gönguviðmótinu og skoðaðu conntrack fyrir þýðinguna. Sú röð sannar að pakkinn fór ætlaða slóð frekar en að hafa bara komið einhvers staðar.

Endurtaktu prófið eftir endurtengingu. Masquerade-regla sem nefnir viðmótið lifir nýtt göngufang; regla sem nefnir gamla fangið gerir það ekki. Prófaðu svo annan LAN-hýsil, því hönnun sem virkar á einni vél fer oft eftir eigin leið þeirrar vélar frekar en stefnu gáttarinnar.

Skrifaðu valið módel, þýddu eða varðveittu upptökin og eiganda endurkomuleiðarinnar í minnispunkta gáttarinnar. Annars mun næsta manneskja sem bætir við biðlara eða göngum giska, og gisk er hvernig virk LAN-til-VPN uppsetning verður hálf.