Ættir þú að beita SNAT á framsendingu gáttar inn í VPN-undirnet?

Framsending gáttar á hýsil sem stendur á bak við eigin VPN-biðlara beinisins mistekst á þann hátt að það lítur út eins og eldveggsvandamál, því beiðnin berst greinilega. Þjónustan skráir tengingu, biðlarinn bíður og ekkert kemur til baka. Þýðing áfangastaðarins gerði sitt; svörunarpakkinn er sá hluti sem hvarf. Ein sértæk heimildar-NAT-regla á beininum lagar þetta, og áhugaverði hlutinn er að ákveða hversu þröng þessi regla getur verið.

Hvers vegna svarið fer aðra leið

Framsending gáttar endurskirfar hvert pakki fer, aldrei hvaðan hann kom. Heimilisfang internetbiðlarans helst í heimildarreitnum alla leið gegnum göngin, svo fjarlæga þjónustan sér ókunnugan og svarar á þann eina hátt sem hún þekkir: gegnum sína eigin sjálfgefnu gátt. Sú gátt er VPN-samtengingin hinum megin, sem hefur enga leið til baka á handahófskennt opinbert heimilisfang.

Fylgstu með upptöku á gangnatenginu og ósamhverfan er augljós: beiðnipakkarnir út, ekkert inn. Framsendingarkeðjan leyfði flæðið og göngin báru það, þannig að fellan á sér stað eftir að fjarlægi hýsillinn hefur þegar valið afturleið.

Heimildarregla sem er nógu þröng til að treysta

Gerðu beininn að þeirri heimild sem fjarlægi hýsillinn svarar. Í þessu fyrirkomulagi er WAN-heimilisfangið 203.0.113.24, LAN er 192.168.88.0/24, gangnaheimilisfang beinisins er 172.20.5.1, og þjónustan svarar á 172.20.5.40:8443. Reglan hér að neðan passar við pakkann eftir þýðingu áfangastaðarins, þess vegna nefnir hún þýdda heimilisfangið en ekki hið opinbera. Ekkert í henni er háð heimilisfangi biðlarans, og það er einmitt málið.

iptables -t nat -A POSTROUTING -o tun0 -p tcp -d 172.20.5.40 --dport 8443 -j SNAT --to-source 172.20.5.1

Sérhver samsvörun í þeirri línu er til að halda endurskrifinni staðbundinni fyrir eina þjónustu í einum göngum. Fjarlægðu tengið eða gáttina og þú endurskirfar meiri umferð en vandamálið krefst, og þannig verður markviss lagfæring ráðgáta fyrir næsta mann.

Hvenær almenn gríma er heiðarlegi kosturinn

Ef beinirinn framsendir margar þjónustur inn í sama VPN-undirnet verður regla fyrir hverja þjónustu listi sem enginn heldur við. Að gríma allt sem fer út af gangnatenginu er einfaldara og fyrirsjáanlegra, á þeim kostnaði að fela upprunalega biðlarann fyrir hverjum hýsli hinum megin. Veldu það þegar skrárnar þar eru ekki notaðar til að rekja; haltu þröngu reglunni þegar þær eru notaðar.

Báðir valkostir mistekst líka á ólíkan hátt. Vantað þröng regla brýtur eina þjónustu; breið gríma sem passar við of mikið getur hljóðlega endurskrifað umferð sem var þegar í lagi, þar á meðal eigin útleiðartengingar beinisins.

Athugaðu teljarana áður en þú birtir

Reglur sem passa aldrei líta eins út og reglur sem virka þangað til þú telur pakkana. Lestu töfluna aftur með bætateljurum áður en nokkur biðlari tengist, tengstu síðan frá neti sem er ekki LAN og lestu hana aftur. Tvær lestrar eru það sem breyta ágiskun í staðreynd. Birtu framsendinguna aðeins eftir að sú seinni hreyfist.

iptables -t nat -L POSTROUTING -v -n --line-numbers

Núllteljari á heimildarreglunni eftir raunverulega tengingu þýðir að samsvörunin er röng, venjulega vegna þess að áfangastaðurinn eða gáttin passar ekki við pakkann eftir þýðingu. Ef teljarinn hækkar en biðlarinn lendir samt í tímanum er afturleiðin löguð og eitthvað annað sleppir svarinu, svo skoðaðu næst framsendingarstefnuna hinum megin. Hárnálaraðgangur innan frá LAN er sérstakt vandamál og þarf sína eigin reglu, ekki breiðari útgáfu af þessari.