Tveir VPN-biðlar, tvö opinber vistföng: láttu SNAT passa

Tveir VPN-biðlar geta farið út um tvö mismunandi opinber IPv4-vistföng, og reglan sem gerir það er styttri en flestir gera ráð fyrir. Það sem lætur hana virka er ekki iptables-málskipan heldur ástand pakkans þegar hann nær útgangskeðjunni: upprunavistfangið þar verður enn að greina biðlana í sundur. Ef fyrra masquerade hefur þegar sameinað þá báða á eitt vistfang getur engin regla á hvern biðil endurheimt aðgreininguna. Leystu þá spurningu fyrst og skrifaðu svo þýðinguna.

Hver sjálfsmynd lifir til gáttarinnar

Reglan passar við upprunavistfang pakkans, ekki VPN-notandanafn og ekki nafnið sem biðlaforrit sýnir. Allt sem þýðir pakkann fyrr á leiðinni ræður því hvað reglan þín getur enn séð. Keyrðu nat-töfluna í röð og finndu punktinn þar sem uppruninn er enn á hvern biðil.

iptables -t nat -S POSTROUTING

Lestu þann lista frá toppnum. Masquerade-regla nálægt toppnum endurskrifar upprunann fyrir hvert samsvarandi flæði, og færslur á hvern biðil sem settar eru á eftir henni passa við vistfang sem er ekki lengur til. Þegar tvö LAN-tæki deila einum göngum og koma sem eitt innra vistfang verður hönnunin að breytast áður en eldveggurinn gerir það: haltu upprunasviðum þeirra aðskildum eða gefðu hvoru sínu innra vistfang.

Tengdu úthlutun innra vistfangsins við auðkenndan biðil. Að gefa það vistfang öðru tæki færir útgangsstefnuna með, og upprunaaðlögun er ekki sjálfsmyndarsönnun ein og sér.

Þýðing getur ekki fundið upp vistfang

Hvert opinbert vistfang verður að vera úthlutað eða beint að þessum útgangspunkti, og svörin verða að finna leið aftur til hans. Regla sem sendir umferð frá vistfangi sem enginn beinir aftur til er hent í fjarlæga endanum eða svarað til hýsils sem bað aldrei um það. Tilvik hjá skýjaþjónustuaðila er venjulega með opinbert vistfang þýtt yfir á einkapóstfang viðmótsins áður en pakkinn fer, svo SNAT-uppruninn verður að vera vistfangið sem aðilinn tekur við, ekki gildið sem stjórnborðið sýnir. Lestu vistfangalíkan aðilans og fylgdu því í stað þess að afrita opinbera gildið í hvern pakka.

Í reynd þýðir það að athuga beina forskeytið í stjórnborði aðilans áður en eldveggnum er snert, og nota einkapóstfang viðmótsins sem þýðingaruppruna þegar vörpunin er einn á móti einum. Vistföngin í dæmunum hér að neðan koma úr skjölunarsviðunum, svo það fyrsta sem þarf að skipta út er vistfangatextinn sjálfur.

Setjið inn fyrir almennu masquerade

Staðfestu útgangsviðmótið og núverandi keðju áður en þú bætir einhverju við. Fyrra atriðið ræður því hvaða pakka reglan getur passað við, og hið síðara sýnir hvað stendur þegar fyrir framan hana.

ip -4 route show default
iptables -t nat -L POSTROUTING -n -v --line-numbers

Fyrsta skipunin nefnir viðmótið sem pakki til internetsins fer í raun út um. Sú síðari prentar keðjuna með línunúmerum. Almenna masquerade-færslan er lína sem þú verður að vera fyrir ofan.

iptables -t nat -I POSTROUTING 1 -s 10.88.4.20/32 -o ens3 -j SNAT --to-source 198.51.100.77
iptables -t nat -I POSTROUTING 1 -s 10.88.4.21/32 -o ens3 -j SNAT --to-source 198.51.100.78

Tvær reglurnar hér að ofan passa hvora við eitt innra vistfang, takmarka samsvörunina við útgangsviðmótið og setja upprunann skýrt. Setjið inn í stað þess að bæta við: á stöðu 1 eru þær metnar fyrir masquerade-línuna. Röðin á milli þeirra skiptir ekki máli því upprunar þeirra eru ólíkir. Skiptu ens3 út fyrir það sem leiðarskipunin tilkynnti, og haltu öðrum eldveggsstjórum frá sömu krókum, því tvennum tólum sem skrifa eina töflu er venjulega ástæðan fyrir því að rétt regla hefur engin áhrif.

Sannaðu upprunann með nýju flæði

Stöðu-NAT tengir þýðingu þegar flæði hefst og notar hana aftur fyrir síðari pakka, svo lota sem var opnuð fyrir breytinguna heldur gamla upprunanum eftir breytinguna. Aðeins nýlega hafin tenging sannar regluna.

conntrack -L -s 10.88.4.20 -p tcp --dport 443

Lestu svarstefnu þeirrar færslu: áfangastaður hennar er vistfangið sem fjarlægi endinn sér sem upprunann. Berðu það saman við opinbera vistfangið sem þú ætlaðir, og líttu á færslu sem ber gamla vistfangið sem sönnun fyrir flæði sem byrjaði of snemma, ekki fyrir bilaða reglu. Biddu biðilinn að opna nýja tengingu og endurtaktu svo fyrirspurnina. Að tæma alla rakningartöfluna til að þvinga prófið truflar hverja aðra lotu á gáttinni.

Þýðing velur enn ekki leiðina, hleypir flæðinu ekki í gegnum síuna og birtir ekki innkomna þjónustu. Röng leið og vantað leyfisregla halda áfram að mistakast eftir fullkomna SNAT-reglu. Athugaðu líka IPv6 og hvaða aukaleið út sem er, og skráðu svo innra-í-opinbert pörin í skjölun eldveggsins svo næsta breyting byrji á vörpuninni í stað reglutextans.