NAT á LAN í gegnum tun0 á OpenBSD VPN-hliði

Tveir verkfræðingar með sama OpenBSD-hliðið gefa þér oft tvö mismunandi reglusett til að ná í fjartengt net, og hægt er að verja hvort tveggja. Valið milli upprunanats og afturleiðar er alls ekki setningafræðileg spurning. Það veltur á því hvað hinum megin er þegar kunnugt um 192.168.88.0/24 og hvað þú þarft að halda í annálunum. Ef þetta fer úrskeiðis mun nat-to línan líta fullkomlega rétt út á meðan svörin hverfa í sjálfgefna hliðinu hinum megin.

Leiðsögn og endurskrifun svara ólíkum spurningum

Leiðsögutöflan ákveður að hægt sé að ná 172.20.0.0/16 um tun0, og sú ákvörðun er tekin áður en nokkurt pf-þyðing er spurð. Upprunanatið breytir síðan haus pakkans þeannig að fjarlægi endinn sér göngufang hliðsins í stað LAN-vélar. Hvorugt fyrirbærið kemur í stað hins: nat-regla getur ekki búið til leið, og leið getur ekki sannfært fjartengdan beini sem hefur aldrei heyrt um einkaneðrið þeitt. Þegar hinum megin vantar afturleið eru svörin hent eða send á sjálfgefna hliðið þar, og engin stilling reglna lagar það.

Einfaldlega sagt, framsending svarar því hvert umferðin fer og þyðing svarar því hvaðan hún virðist koma. Haltu þim í aðskildum hugarhillum meðan þú hannar reglusettið.

Þrjú skilyrði sem ráða

Spurðu þariggja spurninga í röð og hönnunin velur sig yfirleitt sjálf. Hefur fjarnetið fasta leið sem bendir á göngufangið fyrir 192.168.88.0/24, eða stjórnar stjórnandi þess beinunum á þeirri leið? Ef já, láttu LAN-föngin ferðast óbreytt og slepptu þyðingunni alveg. Þarftu sýnileika fyrir hvern biðlara hinum megin, hvort sem er fyrir aðgangsstefnu eða endurskoðunarslóð? Ef já, er varðveisla upprunans þess virði. Er göngufangið nógu stöðugt til að skrifa í fjarlæga leið, eða færist það milli endurtenginga?

Ef eitthvert svar er nei eða óþekkt er nat-to hagnýtur kostur, og einnig sá sem hægt er að afturkalla. Þýðingarregla fer út með einni línu þegar hinum megin bætir við viðeigandi leið. Afturleið sem aldrei var sett upp kostar þig eina þráð í stuðningi í hvert skipti sem einhver spyr hvers vegna göngin virka bara í aðra áttina.

Að staðsetja bútin svo pf meti hann í raun

Búturinn hér að neðan gerir ráð fyrir að LAN sé 192.168.88.0/24, fjarnetið 172.20.0.0/16 og gönguviðmótið tun0. Ekkert í honum velur næsta hopp. Hann endurskrifar aðeins upprunann á pökkum sem þegar eru að fara út um göngin.

match out on tun0 inet from 192.168.88.0/24 to 172.20.0.0/16 nat-to (tun0)
pass in on em0 inet from 192.168.88.0/24 to any keep state

Tveir smáatriðir í þeirri fyrstu línu bera mestu þyngdina. Sviga kringum tun0 segja pf að lesa viðmótsfangið í hvert sinn sem það byggir stöðufærslu, sem skiptir máli þegar göngin eru endurnúmeruð eftir endurtengingu. Orðið match þyðir að reglan endurskrifar og fellur síðan í gegn, svo sérstök pass-regla verður samt að hleypa flæðinu í gegn. Viðmótið sem nefnt er í match-línunni verður líka að vera það sem leiðsögutöflan velur, annars metur pf regluna á annarri útlreið en pakkinn fer í raun.

Ekki gleyma kjarnanum. Virkja þarf IPv4-framsendingu, og stöðugar pass-reglur fyrir göng og LAN verða að vera til staðar áður en nokkuð af þessu hefur merkingu. PF NAT kaflinn í OpenBSD FAQ er rétta heimildin fyrir röð lykilorða hér.

Sannreyndu reglusettið áður en þú treystir umferðinni

Athugaðu setningafræðina fyrst með pfctl -nf /etc/pf.conf, sem þáttar skrána án að hlaða henni. Hladdu síðan stefnunni og lestu aftur hvað kjarninn heldur í raun, því regla sem þáttast hrein getur samt verið skuggalögð eða tengd röngu viðmóti. pfctl -sn prentar þyðingarreglurnar í hlaðnu formi og pfctl -sr prentar síureglurnar í matsröð.

Fylgstu næst með vírnum. Á hliðinu sýnir tcpdump -ni tun0 'host 172.20.0.10' hvort upprunafangið sem fer út um göngin sé göngufangið eða LAN-vélin. Fljótlegt netstat -rn -f inet staðfestir á hvaða viðmót áfangastaðurinn leysist. Þegar umferðin streymir telur pfctl -ss upp stöðufærslur; ef flæði bjó ekki til stöðu hefur pakkinn aldrei lent í reglu sem býr hana til.

Ef gagnstæða hliðin virðist rétt og svörin koma samt ekki, hættu að breyta pf. Bilunin sem eftir er er í fjartengda beininum, þar sem svarinu er beint að einkafangi sem sú hlið kemst ekki að.

Þegar þyðing kostar meira en hún sparar

Þýðing felur biðlara, og stundum er það einmitt rangi skiptin. Skarast neðri net eru eitt tilvik: ef hinum megin er líka notað 192.168.88.0/24 innanhúss gerir það áreksturinn verri en betri að sýna LAN-vélar sem hliðið. IPsec-stefnur sem velja umferð eftir fangapari eru annað, því öryggisstefnugrunnurinn er borinn saman fyrir þyðinguna og sér aldrei endurskrifaða pakkann. Sérhver uppsetning sem rukkar, takmarkar eða endurskoðar eftir notanda tapar líka þeirri auðkenningu sem hún þarf um leið og uppruninn fellur saman í eitt fang.

Færanlegar pf-afleiður eru sérstök gildra. Vörur sem búa til sínar eigin regluskrár gera ráð fyrir að NAT sé stillt í gegnum viðmót þeirra, og handbreyttir bútar eru skrifaðir yfir við næstu endurhleðslu. Reglusett sem afrituð eru úr leiðbeiningum skrifuðum áður en lykilorðið match varð til hlaðast ekki á núverandi kjarna, svo flyttu setningafræðina og lestu villuna í stað þess að giska.

Ákvörðunarreglan sem lifir snertingu við raunveruleg net er stutt: sett upp afturleið þegar þú getur, þyddu þegar þú getur það ekki, og skrifaðu niður hvert af þremur skilyrðum ráð valinu. Þessi athugasemd sparar næsta manni síðdegi.