ಮ್ಯಾಸ್ಕರೇಡ್ ಅಥವಾ ನೀತಿ-ಆಧಾರಿತ ರೂಟಿಂಗ್: VPN ಗೇಟ್ವೇ ಮೂಲಕ LAN ಸಂಚಾರ

ಇಡೀ LAN ಅನ್ನು VPN ಟನಲ್ ಹಿಂದೆ ಇಡುವುದು ಸುಲಭ ಭಾಗ; ದೂರದ ತುದಿ ಆ ಕ್ಲೈಂಟ್ಗಳನ್ನು ಹೇಗೆ ನೋಡುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುವುದು ಸುಲಭವಲ್ಲ. ಮ್ಯಾಸ್ಕರೇಡ್ ಪ್ರತಿ LAN ಮೂಲವನ್ನು ಗೇಟ್ವೇಯ ಟನಲ್ ವಿಳಾಸಕ್ಕೆ ಮರುಬರೆಯುತ್ತದೆ, ಆದ್ದರಿಂದ ದೂರದ ತುದಿ ಒಂದೇ ಪೀರ್ನಿಗೆ ಉತ್ತರಿಸುತ್ತದೆ. ನೀತಿ-ಆಧಾರಿತ ರೂಟಿಂಗ್ ಮೂಲ ವಿಳಾಸಗಳನ್ನು ಉಳಿಸಿಕೊಳ್ಳುತ್ತದೆ ಮತ್ತು ಅವುಗಳನ್ನು ತಲುಪುವುದು ಹೇಗೆ ಎಂದು ದೂರದ ತುದಿಗೆ ತಿಳಿದಿರಬೇಕೆಂದು ಒತ್ತಾಯಿಸುತ್ತದೆ. ಎರಡೂ ಡೀಫಾಲ್ಟ್ ಅಲ್ಲ; ಆಯ್ಕೆ ದೂರದ ತುದಿ ಯಾರದ್ದು ಮತ್ತು ಪ್ರತಿ-ಸಾಧನ ಗುರುತು ಮುಖ್ಯವೇ ಎಂಬುದನ್ನು ಅವಲಂಬಿಸಿದೆ.

ಎರಡು ವಿನ್ಯಾಸಗಳು ಬೇರೆ ಬೇರೆ ವಿಷಯಗಳನ್ನು ಭರವಸೆ ನೀಡುತ್ತವೆ

ಮ್ಯಾಸ್ಕರೇಡ್ LAN ಅನ್ನು ಒಂದೇ ಕಾಣುವ ಹೋಸ್ಟ್ಗೆ ಇಳಿಸುತ್ತದೆ: ಗೇಟ್ವೇ. ದೂರದ ಜಾಲವು ಆ ಒಂದೇ ವಿಳಾಸಕ್ಕೆ ಉತ್ತರಿಸುತ್ತದೆ, ಮತ್ತು ಗೇಟ್ವೇ ಉತ್ತರಗಳನ್ನು ಹರಿವನ್ನು ಪ್ರಾರಂಭಿಸಿದ ಕ್ಲೈಂಟ್ಗೆ ಮರಳಿ ಅನುವಾದಿಸುತ್ತದೆ. ದೂರದ ತುದಿಯಲ್ಲಿ ನಿಮ್ಮ ಖಾಸಗಿ ಪೂರ್ವಪ್ರತ್ಯಯಗಳಿಗೆ ಯಾವುದೇ ಮಾರ್ಗದ ಅಗತ್ಯವಿಲ್ಲ, ಆದ್ದರಿಂದ ಈ ವಿನ್ಯಾಸವು ಅವನ್ನು ಸಾಗಿಸಲು ನಿರಾಕರಿಸುವ ಪೂರೈಕೆದಾರರೊಂದಿಗೂ ಉಳಿಯುತ್ತದೆ. ಗೇಟ್ವೇ ಪ್ರತಿ ಸಂಪರ್ಕದ ಮೂಲವೂ ಆಗುತ್ತದೆ, ಆದ್ದರಿಂದ ದೂರದ ತುದಿ ಎರಡು ಕ್ಲೈಂಟ್ಗಳನ್ನು ಬೇರ್ಪಡಿಸಲಾರದು.

ನೀತಿ-ಆಧಾರಿತ ರೂಟಿಂಗ್ ಪ್ರತಿ ಕ್ಲೈಂಟ್ನ ವಿಳಾಸವನ್ನು ಅಕ್ಷತವಾಗಿ ಇರಿಸುತ್ತದೆ. ದೂರದ ಜಾಲವು ನಿಜವಾದ ಮೂಲವನ್ನು ನೋಡುತ್ತದೆ ಮತ್ತು ಅದನ್ನು ಲಾಗ್ ಮಾಡಬಹುದು, ಪ್ರತಿ-ಹೋಸ್ಟ್ ನಿಯಮವನ್ನು ಅನ್ವಯಿಸಬಹುದು ಅಥವಾ ಉತ್ತರವನ್ನು ನೇರವಾಗಿ ಆ ವಿಳಾಸಕ್ಕೆ ಕಳುಹಿಸಬಹುದು. ಈ ಗೋಚರತೆಯೇ ಪೂರ್ಣ ವಿಷಯ, ಮತ್ತು ಅದು ಒಂದು ಬಾಧ್ಯತೆಯೊಂದಿಗೆ ಬರುತ್ತದೆ: ದೂರದ ತುದಿಯಲ್ಲಿ LAN ಪೂರ್ವಪ್ರತ್ಯಯಕ್ಕೆ ಟನಲ್ ಮೂಲಕ ಹಿಂತಿರುಗುವ ಮಾರ್ಗ ಇರಬೇಕು. ನಿಯಮವನ್ನು ಸಕ್ರಿಯಗೊಳಿಸುವ ಮೊದಲು ಆ ಮಾರ್ಗವನ್ನು ಯೋಜಿಸಿ, ಏಕೆಂದರೆ ಟನಲ್ ಹೇಗಾದರೂ ಮೇಲೇಳುತ್ತದೆ ಮತ್ತು ಕೇವಲ ಉತ್ತರಗಳು ಕಾಣೆಯಾಗುತ್ತವೆ.

ವೈಫಲ್ಯದ ವಿಧಾನಗಳು ಭರವಸೆಗಳಷ್ಟೇ ಭಿನ್ನವಾಗಿವೆ. ಕಾಣೆಯಾದ ಮ್ಯಾಸ್ಕರೇಡ್ ನಿಯಮವು ಖಾಸಗಿ ಮೂಲಗಳೊಂದಿಗೆ ಹೊರಡುವ ಮತ್ತು ಎಂದಿಗೂ ಮರಳದ ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ಉತ್ಪಾದಿಸುತ್ತದೆ. ಕಾಣೆಯಾದ ಮರಳುವ ಮಾರ್ಗವು ನೀತಿ-ಆಧಾರಿತ ರೂಟಿಂಗ್ನಲ್ಲಿ ಅದೇ ಲಕ್ಷಣವನ್ನು ನೀಡುತ್ತದೆ, ಆದರೆ ಸರಿಪಡಿಸುವಿಕೆ ಗೇಟ್ವೇಯಲ್ಲಿ ಅಲ್ಲ, ದೂರದ ರೂಟರ್ನಲ್ಲಿ.

ಮ್ಯಾಸ್ಕರೇಡ್: ದೂರದ ತುದಿಯಲ್ಲಿ ಒಂದೇ ಪೀರ್

ಮ್ಯಾಸ್ಕರೇಡ್ ಮಾರ್ಗಕ್ಕೆ ಮುಖ್ಯವಾದ ಕ್ರಮವಿದೆ. ಯಾವುದೇ NAT ನಿಯಮವು ಉಪಯುಕ್ತವಾಗುವ ಮೊದಲು ಫಾರ್ವರ್ಡಿಂಗ್ ಸಕ್ರಿಯವಾಗಿರಬೇಕು, ಫಿಲ್ಟರ್ ಟೇಬಲ್ ಎರಡೂ ದಿಕ್ಕುಗಳಲ್ಲಿ ಸಾಗಣೆಗೆ ಅನುಮತಿ ನೀಡಬೇಕು, ಮತ್ತು ಆಗ ಮಾತ್ರ ಟನಲ್ ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ಅನುವಾದ ಅನ್ವಯವಾಗುತ್ತದೆ.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

ಕ್ಲೈಂಟ್ಗಳಿಗೆ ಇನ್ನೂ ಗೇಟ್ವೇಗೆ ದಾರಿ ಬೇಕು. ಒಂದೋ ಗೇಟ್ವೇ ಅವರ ಡೀಫಾಲ್ಟ್ ರೂಟರ್, ಅಥವಾ ಅವರು ದೂರದ ಪೂರ್ವಪ್ರತ್ಯಯಕ್ಕೆ ನಿರ್ದಿಷ್ಟ ಮಾರ್ಗವನ್ನು ಹೊತ್ತಿರುತ್ತಾರೆ; ಬೇರೆ ರೂಟರ್ ಡೀಫಾಲ್ಟ್ ಆಗಿ ಉಳಿದರೆ, ಆ ರೂಟರ್ಗೆ ಟನಲ್ ಗಮ್ಯಸ್ಥಾನಗಳಿಗೆ ಸ್ಥಿರ ಮಾರ್ಗ ಬೇಕು, ಇಲ್ಲದಿದ್ದರೆ ಗೇಟ್ವೇ ಅದನ್ನು ನೋಡುವ ಮೊದಲು ಪ್ಯಾಕೆಟ್ ತಪ್ಪು ಹಾಪ್ಗೆ ಹೋಗುತ್ತದೆ.

DNS ಪ್ರತ್ಯೇಕ ನಿರ್ಧಾರ. ದೂರದ ತುದಿಯ ರಿಸಾಲ್ವರ್ ತನ್ನ ಉತ್ತರವು ಕ್ಲೈಂಟ್ಗೆ ಮರಳಿ ಹೋಗಬಲ್ಲದಿದ್ದರೆ ಮಾತ್ರ ಉತ್ತರಿಸುತ್ತದೆ. ಮ್ಯಾಸ್ಕರೇಡ್ ಅಡಿಯಲ್ಲಿ ಪ್ರಶ್ನೆ ಗೇಟ್ವೇಯಿಂದ ಬಂದಂತೆ ಕಾಣುತ್ತದೆ, ಆದ್ದರಿಂದ ರಿಸಾಲ್ವರ್ನ ಮರಳುವ ಮಾರ್ಗ ಈಗಾಗಲೇ ಪೂರೈಸಲ್ಪಟ್ಟಿದೆ; ನೀತಿ-ಆಧಾರಿತ ರೂಟಿಂಗ್ ಅಡಿಯಲ್ಲಿ ರಿಸಾಲ್ವರ್ಗೆ ಬೇರೆ ಯಾವುದೇ ದೂರದ ಸೇವೆಯಂತೆ ಅದೇ ಮರಳುವ ಮಾರ್ಗ ಬೇಕು.

ನೀತಿ-ಆಧಾರಿತ ರೂಟಿಂಗ್: ಮೂಲವನ್ನು ಉಳಿಸಿ, ಮರಳುವ ಮಾರ್ಗ ಸೇರಿಸಿ

ನೀತಿ-ಆಧಾರಿತ ರೂಟಿಂಗ್ ಟೇಬಲ್ ಮತ್ತು ಅದನ್ನು ಆಯ್ಕೆ ಮಾಡುವ ನಿಯಮದಿಂದ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ. LAN ಇಂಟರ್ಫೇಸ್ನಿಂದ ಒಳಬರುವ ಸಂಚಾರವು ಮೀಸಲಾದ ಟೇಬಲ್ಗೆ ಕಳುಹಿಸಲ್ಪಡುತ್ತದೆ, ಮತ್ತು ಆ ಟೇಬಲ್ ಟನಲ್ ಮೂಲಕ ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗವನ್ನು ಹೊತ್ತಿರುತ್ತದೆ. ಮುಖ್ಯ ಟೇಬಲ್ ಸ್ಪರ್ಶವಾಗದೆ ಉಳಿಯುತ್ತದೆ, ಆದ್ದರಿಂದ ಗೇಟ್ವೇ ಸ್ವತಃ ಸೃಷ್ಟಿಸಿದ ಸಂಚಾರ ಬೇರೆ ದಾರಿ ತೆಗೆದುಕೊಳ್ಳಬಹುದು.

ip rule add iif eth1 table vpn
ip route add default dev tun0 table vpn

ನಂತರ ದೂರದ ತುದಿ LAN ಪೂರ್ವಪ್ರತ್ಯಯವನ್ನು ಟನಲ್ ಮೂಲಕ ಹಿಂತಿರುಗಿ ರೂಟ್ ಮಾಡಬೇಕು. ಅದು ಈ ಗೇಟ್ವೇಯಲ್ಲಿ ಅಲ್ಲ, ದೂರದ ರೂಟರ್ನಲ್ಲಿ ಸೆಟ್ಟಿಂಗ್. ಗೇಟ್ವೇ ಮುಖ್ಯ ಟೇಬಲ್ ನಿರೀಕ್ಷಿಸುವುದಕ್ಕಿಂತ ಬೇರೆ ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ಬರುವ ಉತ್ತರಗಳನ್ನೂ ಸ್ವೀಕರಿಸಬೇಕು; ಕಟ್ಟುನಿಟ್ಟಿನ ಮೋಡ್ ಆ ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ಬಿಟ್ಟಾಗ ಸಡಿಲವಾದ ಹಿಮ್ಮುಖ-ಮಾರ್ಗ ಫಿಲ್ಟರಿಂಗ್ (rp_filter 2ಕ್ಕೆ ಸೆಟ್) ಸಾಮಾನ್ಯ ಹೊಂದಾಣಿಕೆ.

ಎರಡು ಟನಲ್ಗಳು ಸಕ್ರಿಯವಾಗಿದ್ದಾಗ, ಪ್ರತಿ ಹರಿವನ್ನು ಪ್ರವೇಶದಲ್ಲಿ ಟ್ಯಾಗ್ ಮಾಡಿ ಮತ್ತು ಟ್ಯಾಗ್ ಟೇಬಲ್ ಆಯ್ಕೆ ಮಾಡಲಿ. ಇನ್ಪುಟ್ ಇಂಟರ್ಫೇಸ್ ಮಾತ್ರ ನೋಡುವ ನಿಯಮ ಎರಡೂ ಟನಲ್ಗಳ ಸಂಚಾರವನ್ನು ಒಂದೇ ಟೇಬಲ್ಗೆ ಕಳುಹಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಎರಡನೇ ಟನಲ್ ಮೊದಲನೆಯ ಹರಿವುಗಳನ್ನು ಕದಿಯುತ್ತದೆ. ಆ ಟ್ಯಾಗ್ ಅನ್ನು ಮರುಸಂಪರ್ಕವನ್ನು ಬದುಕುವ ಸಂಪರ್ಕದಿಂದ ಪರೀಕ್ಷಿಸಿ, ಏಕೆಂದರೆ ಆಗಲೇ ಮಿಶ್ರ ನೀತಿ ಕಾಣಿಸುತ್ತದೆ.

ಮಾಲೀಕತ್ವ ಮತ್ತು ದೂರದ ತುದಿ ಏನನ್ನು ಲಾಗ್ ಮಾಡುತ್ತದೆ ಎಂಬುದರ ಆಧಾರದಲ್ಲಿ ನಿರ್ಧರಿಸಿ

ಟನಲ್ ಪೂರೈಕೆದಾರರಲ್ಲಿ ಕೊನೆಗೊಂಡರೆ, ಮ್ಯಾಸ್ಕರೇಡ್ ಬಳಸಿ. ಆ ನಿರ್ವಾಹಕರು ನಿಮ್ಮ ಖಾಸಗಿ LAN ಶ್ರೇಣಿಗಳನ್ನು ರೂಟ್ ಮಾಡುವುದಿಲ್ಲ, ಮತ್ತು ನಿಮ್ಮ ಗೇಟ್ವೇಯ ಹಿಂದಿನ ಪ್ರತ್ಯೇಕ ಕ್ಲೈಂಟ್ಗಳನ್ನು ಬೇರ್ಪಡಿಸಲು ಅವರಿಗೆ ಕಾರಣವಿಲ್ಲ. ಒಂದೇ ಕಾಣುವ ಪೀರ್ ಅವರ ನೀತಿ ಬೆಂಬಲಿಸುವ ಏಕೈಕ ಮಾದರಿ, ಆದ್ದರಿಂದ ಅದನ್ನೇ ಕೊಡಿ ಮತ್ತು ಅನುವಾದವನ್ನು ನಿಮ್ಮ ಅಂಚಿನಲ್ಲಿ ಇರಿಸಿ. ಪೂರೈಕೆದಾರರು ಒಂದು ಪೀರ್ ನೋಡುತ್ತಾರೆ, ಅದು ಅವರ ನೀತಿ ನಿರೀಕ್ಷಿಸುವುದೇ ಆಗಿದೆ, ಮತ್ತು ನಿಮ್ಮ ಕ್ಲೈಂಟ್ಗಳು ಆ ಒಂದೇ ಗುರುತನ್ನು ಬಳುವಳಿಯಾಗಿ ಪಡೆಯುತ್ತಾರೆ.

ಎರಡೂ ತುದಿಗಳು ನಿಮ್ಮವು ಮತ್ತು ದೂರದ ಸೇವೆಗಳು ಮೂಲ ವಿಳಾಸಗಳ ಮೇಲೆ ಕಾರ್ಯನಿರ್ವಹಿಸಿದರೆ, ನೀತಿ-ಆಧಾರಿತ ರೂಟಿಂಗ್ ತನ್ನ ಹೆಚ್ಚುವರಿ ಮಾರ್ಗಕ್ಕೆ ಅರ್ಹವಾಗಿದೆ. ಆಗ ಫೈರ್ವಾಲ್ ನಿಯಮಗಳು, ಪ್ರತಿ-ಬಳಕೆದಾರ ಪ್ರವೇಶ ಮತ್ತು ಆಡಿಟ್ ಲಾಗ್ಗಳು ಕ್ಲೈಂಟ್ಗಳನ್ನು ಬೇರ್ಪಡಿಸಬಲ್ಲವು. ದೂರದ ತುದಿಗೆ ಕೇವಲ ತಲುಪುವಿಕೆ ಬೇಕಿದ್ದರೆ, ಮ್ಯಾಸ್ಕರೇಡ್ ಸರಳ ಮತ್ತು ಮರಳುವ-ಮಾರ್ಗ ದೋಷಗಳ ಒಂದು ವರ್ಗವನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ.

ಸಂಕರ ವಿನ್ಯಾಸಗಳು ಸಾಮಾನ್ಯ: ನಿಮ್ಮ ಸ್ವಂತ ಜಾಲದಲ್ಲಿ ನೀತಿ-ಆಧಾರಿತ ರೂಟಿಂಗ್, ಪೂರೈಕೆದಾರರ ಅಂಚಿನಲ್ಲಿ ಮ್ಯಾಸ್ಕರೇಡ್. ಮುಖ್ಯವಾದುದು ಯಾವ ಹಾಪ್ ಅನುವಾದಿಸುತ್ತದೆ ಮತ್ತು ಯಾವ ಹಾಪ್ ರೂಟ್ ಮಾಡುತ್ತದೆ ಎಂದು ಬರೆದಿಡುವುದು, ಏಕೆಂದರೆ ಒಬ್ಬ ಕ್ಲೈಂಟ್ಗೆ ಆಕಸ್ಮಿಕವಾಗಿ ಸೇರಿಸಿದ NAT ನಿಯಮ ಅದೇ ಸರಪಳಿಯ ಪ್ರತಿ ಕ್ಲೈಂಟ್ನ ಮೂಲವನ್ನು ಮರೆಮಾಡುತ್ತದೆ.

ಒಬ್ಬ ಕ್ಲೈಂಟ್ನಿಂದ ಪರಿಶೀಲಿಸಿ, ನಂತರ ಎರಡನೇ ಕ್ಲೈಂಟ್ನಿಂದ

ಸಂಚಾರ ಪ್ರಾರಂಭವಾಗುವಲ್ಲಿಯೇ ಪರೀಕ್ಷೆಯನ್ನು ನಡೆಸಿ. ಹೋಸ್ಟ್ ಬಳಸುವ ಮಾರ್ಗವನ್ನು ಪರಿಶೀಲಿಸಿ, ಟನಲ್ ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ಪ್ಯಾಕೆಟ್ ಕಾಣಿಸಿಕೊಳ್ಳುವುದನ್ನು ಗಮನಿಸಿ, ಮತ್ತು ಅನುವಾದಕ್ಕಾಗಿ conntrack ಪರಿಶೀಲಿಸಿ. ಈ ಕ್ರಮವು ಪ್ಯಾಕೆಟ್ ಉದ್ದೇಶಿತ ದಾರಿಯಲ್ಲಿ ಸಾಗಿತು ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಕೇವಲ ಎಲ್ಲೋ ತಲುಪಿತು ಎಂದಲ್ಲ.

ಮರುಸಂಪರ್ಕದ ನಂತರ ಪರೀಕ್ಷೆಯನ್ನು ಪುನರಾವರ್ತಿಸಿ. ಇಂಟರ್ಫೇಸ್ ಹೆಸರಿಸುವ ಮ್ಯಾಸ್ಕರೇಡ್ ನಿಯಮ ಹೊಸ ಟನಲ್ ವಿಳಾಸದಲ್ಲೂ ಉಳಿಯುತ್ತದೆ; ಹಳೆಯ ವಿಳಾಸ ಹೆಸರಿಸುವ ನಿಯಮ ಉಳಿಯುವುದಿಲ್ಲ. ನಂತರ ಎರಡನೇ LAN ಹೋಸ್ಟ್ ಪರೀಕ್ಷಿಸಿ, ಏಕೆಂದರೆ ಒಂದು ಯಂತ್ರದಲ್ಲಿ ಕೆಲಸ ಮಾಡುವ ವಿನ್ಯಾಸ ಸಾಮಾನ್ಯವಾಗಿ ಆ ಯಂತ್ರದ ಸ್ವಂತ ಮಾರ್ಗವನ್ನು ಅವಲಂಬಿಸಿದೆ, ಗೇಟ್ವೇ ನೀತಿಯನ್ನಲ್ಲ.

ಆಯ್ಕೆ ಮಾಡಿದ ಮಾದರಿ, ಅನುವಾದಿಸಿದ ಅಥವಾ ಉಳಿಸಿದ ಮೂಲ ಮತ್ತು ಮರಳುವ ಮಾರ್ಗದ ಮಾಲೀಕರನ್ನು ಗೇಟ್ವೇ ಟಿಪ್ಪಣಿಗಳಲ್ಲಿ ಬರೆಯಿರಿ. ಇಲ್ಲದಿದ್ದರೆ ಕ್ಲೈಂಟ್ ಅಥವಾ ಟನಲ್ ಸೇರಿಸುವ ಮುಂದಿನ ವ್ಯಕ್ತಿ ಊಹಿಸುತ್ತಾರೆ, ಮತ್ತು ಊಹೆಯೇ ಕೆಲಸ ಮಾಡುತ್ತಿದ್ದ LAN-ಇಂದ-VPN ವ್ಯವಸ್ಥೆ ಭಾಗಶಃ ಆಗುವ ದಾರಿ.