Birta LAN-þjónustu á eigin vistfangi VPN-gáttarins

Að birta LAN-tæki á einu af eigin gönguvistföngum gáttarinnar þarf aðeins eina línu af NAT. Tengingin mistekst samt, því tækið sem svarar hefur ekki hugmynd um að vistfang biðlarans sé aðgengilegt í gegnum þá gátt. Fylgdu pakkanum frá biðlaranum inn og fylgdu síðan svarinu til baka út, og hinn helmingurinn sem vantar verður augljós.

Byrjaðu á sjónarhorni biðlarans

Biðlarinn í þessu dæmi er í VPN-hópnum 10.62.0.0/24 og tengist 10.62.0.1 á porti 8080. Þetta vistfang tilheyrir gáttinni sjálfri, svo pakkinn berst í kjarna gáttarinnar en ekki til annars jafningja. Aftan við gáttina er LANið 172.21.4.0/24. Gáttin heldur 172.21.4.10 og tækið sem þjónar HTTP í raun er 172.21.4.40.

Vistfang sem tilheyrir öðrum VPN-jafningja er ekki skiptanlegt með þjónustuvistfangi gáttarinnar. Ef biðlarinn tengist vistfangi jafningja kemur engin regla gáttarinnar við sögu og öll þessi ganga er rangt tilvik.

Afmarkaðu þýðingu áfangastaðar viljandi

Þrönga útgáfan birtir eitt port og endurskrifar aðeins áfangastaðinn. Pakkinn varðveitir siðaregluna og upprunann, og það er það sem gerir restina af göngunni áhugaverða.

iptables -t nat -A PREROUTING -i tun0 -s 10.62.0.0/24 -d 10.62.0.1 -p tcp --dport 8080 -j DNAT --to-destination 172.21.4.40:80

Regla án viðmiða um siðareglu og port er breiða útgáfan: hún varðveitir hvaða port sem biðlarinn valdi og breytir aðeins vistfanginu. Það er lögmætt þegar birta á allan hýsilinn og rangt þegar ein þjónusta var ætlunin. Lestu regluna aftur og staðfestu heiti viðmótsins. DNAT-regla á röngu viðmóti passar við ekkert, sem gefur sama tímamörk og regla sem vantar og eyðir klukkustund í að horfa á tækið.

Láttu mörk áframsendingarinnar vera sammála

Þýðing breytir hausnum, hún veitir ekki leyfi. Með sjálfgefinni hendingarstefnu þarf áframsenda flæðið sitt eigið samþykki, og afturáttin þarf regluna um stofnað samband sem stefnan þín hefur líklega þegar.

iptables -A FORWARD -i tun0 -o lan0 -d 172.21.4.40 -p tcp --dport 80 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Skilyrðislaust samþykki fyrir hverju DNAT-flæði er breiðara en þessi hönnun og mun einnig leyfa varpanir sem einhver annar bætir við síðar. Nefndu áfangastaðinn og portið, og láttu restina vera lokaða. Ef teljararnir á áframsendingarreglunni vera á núlli á meðan NAT-teljararnir hækka er pakkanum hent fyrir regluna þína. Lestu röð keðjanna í stað þess að bæta við annarri eintöku.

Tækið verður að svara einhvern veginn

Eftir þýðinguna sér tækið uppruna í 10.62.0.0/24. Svarið fer til sjálfgefnu gáttarinnar, sem er LAN-beinirinn, ekki VPN-gáttin, nema eitthvað segi því annað. Tvö fyrirkomulag laga það og þau eru ekki jafngild. Leið á tækinu eða á LAN-beininum sendir 10.62.0.0/24 til 172.21.4.10 og varðveitir uppruna biðlarans. Takmörkuð upprunatýðing felur biðlarann aftur á móti bak við LAN-vistfang gáttarinnar.

ip route add 10.62.0.0/24 via 172.21.4.10 dev eth1
iptables -t nat -A POSTROUTING -s 10.62.0.0/24 -d 172.21.4.40 -o lan0 -p tcp --dport 80 -j SNAT --to-source 172.21.4.10

Veldu eftir því sem þjónustan þarf. Stefna fyrir hvern biðlara og merkingarbærar skrár vilja beinu myndina; tæki sem ekki er hægt að gefa leið, eða þjónusta sem verður einfaldlega að sjá LAN-vistfang, benda á þýddu myndina. Ekki grípa til alheims masquerade-reglu til að láta eitt svar virka. Hún felur hvern biðlara frá hverjum áfangastað og brýtur hljóðlega stefnurnar sem byggjast á upprunavistföngum.

Ekki prófa frá gáttinni sjálfri

Beiðni sem er búin til á gáttinni til 10.62.0.1 fer út um OUTPUT-keðjuna, ekki um innkomandi PREROUTING. Mistök hennar eða árangur segja ekkert um regluna sem snýr að biðlaranum, og þannig komast menn að þeirri niðurstöðu að virk regla sé brotin.

conntrack -L | grep 172.21.4.40
tcpdump -ni any 'port 8080 or port 80'

Keyrðu raunverulega beiðni biðlara og lestu hvort tveggja. conntrack-færslan sýnir þýðinguna sem var beitt og upptökurnar sýna hvort beiðnin fór yfir í LANið og hvort svar kom til baka í átt að göngunni. Notaðu nýja tengingu eftir að reglum er breytt, því núverandi ástand heldur fyrri vörpun sinni og mun halda áfram að mistakast á gamla háttinn. Staðfestu síðan allt samtalið: vistfang tækisins, leyfi áframsendingar og leið svarsins lýsa öll sama flæðinu.