ಎರಡು VPN ಕ್ಲೈಂಟ್‌ಗಳು, ಎರಡು ಸಾರ್ವಜನಿಕ ವಿಳಾಸಗಳು: SNAT ಹೊಂದಿಸಿ

ಎರಡು VPN ಕ್ಲೈಂಟ್‌ಗಳು ಎರಡು ವಿಭಿನ್ನ ಸಾರ್ವಜನಿಕ IPv4 ವಿಳಾಸಗಳ ಮೂಲಕ ಹೊರಹೋಗಬಹುದು, ಮತ್ತು ಅದನ್ನು ಮಾಡುವ ನಿಯಮ ಹೆಚ್ಚಿನವರು ನಿರೀಕ್ಷಿಸುವುದಕ್ಕಿಂತ ಚಿಕ್ಕದಾಗಿದೆ. ಅದನ್ನು ಕೆಲಸ ಮಾಡಿಸುವುದು iptables ವಾಕ್ಯರಚನೆಯಲ್ಲ, ಬದಲಿಗೆ ಪ್ಯಾಕೆಟ್ ಎಗ್ರೆಸ್ ಸರಪಳಿಯನ್ನು ತಲುಪಿದಾಗಿನ ಅದರ ಸ್ಥಿತಿ: ಅಲ್ಲಿನ ಮೂಲ ವಿಳಾಸವು ಇನ್ನೂ ಕ್ಲೈಂಟ್‌ಗಳನ್ನು ಪ್ರತ್ಯೇಕಿಸಬೇಕು. ಹಿಂದಿನ masquerade ಎರಡನ್ನೂ ಈಗಾಗಲೇ ಒಂದೇ ವಿಳಾಸಕ್ಕೆ ಸೇರಿಸಿದ್ದರೆ, ಯಾವುದೇ ಪ್ರತಿ-ಕ್ಲೈಂಟ್ ನಿಯಮ ಆ ವ್ಯತ್ಯಾಸವನ್ನು ಮರಳಿ ತರಲಾರದು. ಮೊದಲು ಈ ಪ್ರಶ್ನೆಯನ್ನು ಇತ್ಯರ್ಥಪಡಿಸಿ, ನಂತರ ಅನುವಾದ ಬರೆಯಿರಿ.

ಗೇಟ್‌ವೇವರೆಗೆ ಯಾವ ಗುರುತು ಉಳಿಯುತ್ತದೆ

ನಿಯಮವು ಪ್ಯಾಕೆಟ್‌ನ ಮೂಲ ವಿಳಾಸಕ್ಕೆ ಹೊಂದುತ್ತದೆ, VPN ಬಳಕೆದಾರಹೆಸರಿಗಲ್ಲ ಮತ್ತು ಕ್ಲೈಂಟ್ ಅಪ್ಲಿಕೇಶನ್ ತೋರಿಸುವ ಹೆಸರಿಗೂ ಅಲ್ಲ. ಮಾರ್ಗದಲ್ಲಿ ಮೊದಲು ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಅನುವಾದಿಸುವ ಎಲ್ಲವೂ ನಿಮ್ಮ ನಿಯಮ ಇನ್ನೂ ಏನನ್ನು ನೋಡಬಹುದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. nat ಕೋಷ್ಟಕವನ್ನು ಕ್ರಮವಾಗಿ ಚಲಾಯಿಸಿ ಮತ್ತು ಮೂಲವು ಇನ್ನೂ ಪ್ರತಿ ಕ್ಲೈಂಟ್‌ಗೆ ಪ್ರತ್ಯೇಕವಾಗಿರುವ ಬಿಂದುವನ್ನು ಕಂಡುಹಿಡಿಯಿರಿ.

iptables -t nat -S POSTROUTING

ಆ ಪಟ್ಟಿಯನ್ನು ಮೇಲಿನಿಂದ ಓದಿ. ಮೇಲ್ಭಾಗದ ಹತ್ತಿರದ masquerade ನಿಯಮವು ಪ್ರತಿ ಹೊಂದುವ ಹರಿವಿಗೂ ಮೂಲವನ್ನು ಮರುಬರೆಯುತ್ತದೆ, ಮತ್ತು ಅದರ ನಂತರ ಇಡಲಾದ ಪ್ರತಿ-ಕ್ಲೈಂಟ್ ನಮೂದುಗಳು ಇನ್ನಿಲ್ಲದ ವಿಳಾಸಕ್ಕೆ ಹೊಂದುತ್ತವೆ. ಎರಡು LAN ಸಾಧನಗಳು ಒಂದೇ ಸುರಂಗವನ್ನು ಹಂಚಿಕೊಂಡು ಒಂದೇ ಒಳ ವಿಳಾಸವಾಗಿ ಬಂದಾಗ, ಫೈರ್‌ವಾಲ್‌ಗಿಂತ ಮೊದಲು ವಿನ್ಯಾಸ ಬದಲಾಗಬೇಕು: ಅವುಗಳ ಮೂಲ ಶ್ರೇಣಿಗಳನ್ನು ಬೇರೆ ಇರಿಸಿ ಅಥವಾ ಪ್ರತಿಯೊಂದಕ್ಕೂ ತನ್ನದೇ ಒಳ ವಿಳಾಸ ನೀಡಿ.

ಒಳ ವಿಳಾಸದ ಹಂಚಿಕೆಯನ್ನು ದೃಢೀಕೃತ ಕ್ಲೈಂಟ್‌ಗೆ ಜೋಡಿಸಿ. ಆ ವಿಳಾಸವನ್ನು ಇನ್ನೊಂದು ಸಾಧನಕ್ಕೆ ನೀಡುವುದು ಎಗ್ರೆಸ್ ನೀತಿಯನ್ನೂ ಜೊತೆಯಲ್ಲಿ ನೀಡುತ್ತದೆ, ಮತ್ತು ಮೂಲ ಅನುವಾದವು ತಾನೇ ಗುರುತಿನ ಸಾಕ್ಷ್ಯವಲ್ಲ.

ಅನುವಾದವು ವಿಳಾಸವನ್ನು ಕಲ್ಪಿಸಲಾರದು

ಪ್ರತಿ ಸಾರ್ವಜನಿಕ ವಿಳಾಸವನ್ನು ಈ ಎಗ್ರೆಸ್ ಬಿಂದುವಿಗೆ ಹಂಚಬೇಕು ಅಥವಾ ಇಲ್ಲಿಗೆ ರೂಟ್ ಮಾಡಬೇಕು, ಮತ್ತು ಉತ್ತರಗಳು ಇಲ್ಲಿಗೆ ಮರಳುವ ದಾರಿಯನ್ನು ಕಂಡುಕೊಳ್ಳಬೇಕು. ಯಾರೂ ಹಿಂದಕ್ಕೆ ರೂಟ್ ಮಾಡದ ವಿಳಾಸದಿಂದ ಸಂಚಾರ ಕಳುಹಿಸುವ ನಿಯಮವು ದೂರದ ತುದಿಯಲ್ಲಿ ಬಿಡಲ್ಪಡುತ್ತದೆ ಅಥವಾ ಅದನ್ನು ಎಂದೂ ಕೇಳದ ಹೋಸ್ಟ್‌ಗೆ ಉತ್ತರಿಸಲಾಗುತ್ತದೆ. ಕ್ಲೌಡ್ ಪೂರೈಕೆದಾರರ ಇನ್‌ಸ್ಟಾನ್ಸ್ ಸಾಮಾನ್ಯವಾಗಿ ಪ್ಯಾಕೆಟ್ ಹೊರಡುವ ಮೊದಲೇ ತನ್ನ ಸಾರ್ವಜನಿಕ ವಿಳಾಸವನ್ನು ಖಾಸಗಿ ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸಕ್ಕೆ ಅನುವಾದಿಸಿರುತ್ತದೆ, ಆದ್ದರಿಂದ SNAT ಮೂಲವು ಪೂರೈಕೆದಾರರು ಸ್ವೀಕರಿಸುವ ವಿಳಾಸವಾಗಿರಬೇಕು, ಕನ್ಸೋಲ್ ತೋರಿಸುವ ಮೌಲ್ಯವಲ್ಲ. ಪೂರೈಕೆದಾರರ ವಿಳಾಸ ಮಾದರಿಯನ್ನು ಓದಿ ಮತ್ತು ಪ್ರತಿ ಪ್ಯಾಕೆಟ್‌ಗೂ ಸಾರ್ವಜನಿಕ ಮೌಲ್ಯವನ್ನು ನಕಲಿಸುವ ಬದಲು ಅದನ್ನು ಅನುಸರಿಸಿ.

ಪ್ರಾಯೋಗಿಕವಾಗಿ ಇದರರ್ಥ ಫೈರ್‌ವಾಲ್ ಮುಟ್ಟುವ ಮೊದಲು ಪೂರೈಕೆದಾರರ ಕನ್ಸೋಲ್‌ನಲ್ಲಿ ರೂಟ್ ಆದ ಪ್ರಿಫಿಕ್ಸ್ ಪರಿಶೀಲಿಸುವುದು, ಮತ್ತು ಮ್ಯಾಪಿಂಗ್ ಒಂದಕ್ಕೊಂದು ಇದ್ದಾಗ ಖಾಸಗಿ ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸವನ್ನು ಅನುವಾದದ ಮೂಲವಾಗಿ ಬಳಸುವುದು. ಕೆಳಗಿನ ಉದಾಹರಣೆಗಳಲ್ಲಿ ಬಳಸಿದ ವಿಳಾಸಗಳು ದಸ್ತಾವೇಜು ಶ್ರೇಣಿಗಳಿಂದ ಬಂದವು, ಆದ್ದರಿಂದ ಮೊದಲು ಬದಲಾಯಿಸಬೇಕಾದದ್ದು ವಿಳಾಸದ ಪಠ್ಯವೇ.

ಸಾಮಾನ್ಯ masquerade ಮೊದಲು ಸೇರಿಸಿ

ಏನನ್ನೂ ಸೇರಿಸುವ ಮೊದಲು ಎಗ್ರೆಸ್ ಇಂಟರ್ಫೇಸ್ ಮತ್ತು ಪ್ರಸ್ತುತ ಸರಪಳಿಯನ್ನು ಖಚಿತಪಡಿಸಿ. ಮೊದಲನೆಯದು ನಿಯಮ ಯಾವ ಪ್ಯಾಕೆಟ್‌ಗಳಿಗೆ ಹೊಂದಬಹುದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಎರಡನೆಯದು ಅದರ ಮುಂದೆ ಈಗಾಗಲೇ ಏನು ನಿಂತಿದೆ ಎಂಬುದನ್ನು ತೋರಿಸುತ್ತದೆ.

ip -4 route show default
iptables -t nat -L POSTROUTING -n -v --line-numbers

ಮೊದಲ ಆಜ್ಞೆ ಇಂಟರ್ನೆಟ್‌ಗೆ ಹೋಗುವ ಪ್ಯಾಕೆಟ್ ನಿಜವಾಗಿ ಯಾವ ಇಂಟರ್ಫೇಸ್ ಮೂಲಕ ಹೊರಡುತ್ತದೆ ಎಂಬುದನ್ನು ಹೆಸರಿಸುತ್ತದೆ. ಎರಡನೆಯದು ಸಾಲು ಸಂಖ್ಯೆಗಳೊಂದಿಗೆ ಸರಪಳಿಯನ್ನು ಮುದ್ರಿಸುತ್ತದೆ. ಸಾಮಾನ್ಯ masquerade ನಮೂದು ಮೇಲೆ ಇರಬೇಕಾದ ಸಾಲು.

iptables -t nat -I POSTROUTING 1 -s 10.88.4.20/32 -o ens3 -j SNAT --to-source 198.51.100.77
iptables -t nat -I POSTROUTING 1 -s 10.88.4.21/32 -o ens3 -j SNAT --to-source 198.51.100.78

ಮೇಲಿನ ಎರಡು ನಿಯಮಗಳು ಪ್ರತಿಯೊಂದೂ ಒಂದು ಒಳ ವಿಳಾಸಕ್ಕೆ ಹೊಂದುತ್ತವೆ, ಹೊಂದಿಕೆಯನ್ನು ಎಗ್ರೆಸ್ ಇಂಟರ್ಫೇಸ್‌ಗೆ ಸೀಮಿತಗೊಳಿಸುತ್ತವೆ ಮತ್ತು ಮೂಲವನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ಹೊಂದಿಸುತ್ತವೆ. ಸೇರಿಸುವ ಬದಲು ಸೇರಿಸಿ: ಸ್ಥಾನ 1 ರಲ್ಲಿ ಅವು masquerade ಸಾಲಿನ ಮೊದಲು ಮೌಲ್ಯಮಾಪನಗೊಳ್ಳುತ್ತವೆ. ಎರಡರ ನಡುವಿನ ಕ್ರಮ ಮುಖ್ಯವಲ್ಲ ಏಕೆಂದರೆ ಅವುಗಳ ಮೂಲಗಳು ಭಿನ್ನ. ens3 ಅನ್ನು ರೂಟ್ ಆಜ್ಞೆ ವರದಿ ಮಾಡಿದ್ದರಿಂದ ಬದಲಾಯಿಸಿ, ಮತ್ತು ಇತರ ಫೈರ್‌ವಾಲ್ ನಿರ್ವಾಹಕರನ್ನು ಅದೇ ಕೊಕ್ಕೆಗಳಿಂದ ದೂರವಿರಿಸಿ, ಏಕೆಂದರೆ ಎರಡು ಉಪಕರಣಗಳು ಒಂದೇ ಕೋಷ್ಟಕ ಬರೆಯುವುದು ಸರಿಯಾದ ನಿಯಮಕ್ಕೆ ಪರಿಣಾಮವಿಲ್ಲದಿರುವ ಸಾಮಾನ್ಯ ಕಾರಣ.

ಹೊಸ ಹರಿವಿನಿಂದ ಮೂಲವನ್ನು ಸಾಬೀತುಪಡಿಸಿ

ಸ್ಟೇಟ್‌ಫುಲ್ NAT ಹರಿವು ಆರಂಭವಾದಾಗ ಅನುವಾದವನ್ನು ಬಂಧಿಸುತ್ತದೆ ಮತ್ತು ನಂತರದ ಪ್ಯಾಕೆಟ್‌ಗಳಿಗೆ ಅದನ್ನು ಮತ್ತೆ ಬಳಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಬದಲಾವಣೆಗೆ ಮೊದಲು ತೆರೆದ ಅವಧಿ ಬದಲಾವಣೆಯ ನಂತರವೂ ತನ್ನ ಹಳೆಯ ಮೂಲವನ್ನು ಉಳಿಸಿಕೊಳ್ಳುತ್ತದೆ. ಹೊಸದಾಗಿ ಆರಂಭಿಸಿದ ಸಂಪರ್ಕ ಮಾತ್ರ ನಿಯಮವನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ.

conntrack -L -s 10.88.4.20 -p tcp --dport 443

ಆ ನಮೂದಿನ ಉತ್ತರ ದಿಕ್ಕನ್ನು ಓದಿ: ಅದರ ಗಮ್ಯಸ್ಥಾನವು ದೂರದ ತುದಿ ಮೂಲವಾಗಿ ನೋಡುವ ವಿಳಾಸ. ಅದನ್ನು ನೀವು ಉದ್ದೇಶಿಸಿದ ಸಾರ್ವಜನಿಕ ವಿಳಾಸದೊಂದಿಗೆ ಹೋಲಿಸಿ, ಮತ್ತು ಹಳೆಯ ವಿಳಾಸವನ್ನು ಹೊತ್ತ ನಮೂದನ್ನು ಮುರಿದ ನಿಯಮವಲ್ಲ, ಬಹಳ ಬೇಗ ಆರಂಭವಾದ ಹರಿವಿನ ಸಾಕ್ಷ್ಯವೆಂದು ಪರಿಗಣಿಸಿ. ಕ್ಲೈಂಟ್‌ಗೆ ಹೊಸ ಸಂಪರ್ಕ ತೆರೆಯಲು ಹೇಳಿ, ನಂತರ ಪ್ರಶ್ನೆಯನ್ನು ಪುನರಾವರ್ತಿಸಿ. ಪರೀಕ್ಷೆಯನ್ನು ಒತ್ತಾಯಿಸಲು ಇಡೀ ಟ್ರ್ಯಾಕಿಂಗ್ ಕೋಷ್ಟಕವನ್ನು ಖಾಲಿ ಮಾಡುವುದು ಗೇಟ್‌ವೇಯಲ್ಲಿನ ಪ್ರತಿ ಇತರ ಅವಧಿಯನ್ನು ಅಡ್ಡಿಪಡಿಸುತ್ತದೆ.

ಅನುವಾದವು ಇನ್ನೂ ಮಾರ್ಗವನ್ನು ಆಯ್ಕೆ ಮಾಡುವುದಿಲ್ಲ, ಫಿಲ್ಟರ್ ಮೂಲಕ ಹರಿವನ್ನು ಹಾದುಹೋಗಲು ಬಿಡುವುದಿಲ್ಲ ಮತ್ತು ಒಳಬರುವ ಸೇವೆಯನ್ನು ಪ್ರಕಟಿಸುವುದಿಲ್ಲ. ತಪ್ಪು ಮಾರ್ಗ ಮತ್ತು ಕಾಣೆಯಾದ ಅನುಮತಿ ನಿಯಮವು ಪರಿಪೂರ್ಣ SNAT ನಿಯಮದ ನಂತರವೂ ವಿಫಲವಾಗುತ್ತಲೇ ಇರುತ್ತವೆ. IPv6 ಮತ್ತು ಯಾವುದೇ ದ್ವಿತೀಯ ಎಗ್ರೆಸ್ ಮಾರ್ಗವನ್ನೂ ಪರಿಶೀಲಿಸಿ, ನಂತರ ಮುಂದಿನ ಬದಲಾವಣೆ ನಿಯಮದ ಪಠ್ಯದಿಂದಲ್ಲ, ಮ್ಯಾಪಿಂಗ್‌ನಿಂದ ಆರಂಭವಾಗಲು ಒಳ-ಸಾರ್ವಜನಿಕ ಜೋಡಿಗಳನ್ನು ಫೈರ್‌ವಾಲ್ ದಸ್ತಾವೇಜಿನಲ್ಲಿ ದಾಖಲಿಸಿ.