Жогорку VPN артындагы төмөнкү кардарлар: маршрутпы же NAT?

Бир шлюз өз түзмөктөрүңүз үчүн WireGuard жана башка бирөөнүн тармагына OpenVPN кардарын иштетет. Эки ички интерфейстин ортосундагы өткөрүү иштейт жана төмөнкү ички тармак эми жогорку кызматтын бөлүгү деп жыйынтык чыгаруу оңой. Андай эмес. Кардар тарткан маршрут шлюзүңүзгө сурамдарды кайда жөнөтүүнү айтат; алыскы тармак эч качан уга элек түзмөктөргө трафикти кантип кайтараары тууралуу эч нерсе айтпайт. Бир эреже кошордон мурун жогорку жак чынында колдогон кайтаруу моделин тандаңыз.

Маршруттоого тийишерден мурун кайтаруу моделин чечиңиз

Бул баяндоодо төмөнкү кардарлар 10.90.0.0/24 колдонот, шлюзге берилген жогорку туннелдин дареги 10.80.0.6, ал эми бекитилген алыскы ресурс 172.20.0.30. Бул формага эки модель туура келет: төмөнкү булакты сактап, алыскы жакты аны маршруттоого мажбурлоо же булакты шлюздун өз туннель дарегине которуу. Бул чечимден кийинкинин баары механикалык, ал эми чечимдин өзүнө кызматтын ээси керек. Жогорудагы бир сап — алыскы жак менен маршруттук макулдашуу; экинчиси — өзүңүз жасай алган жергиликтүү саясат өзгөртүүсү. Ушул экөөнү алмаштыруу он мүнөттүк өзгөртүүнү сүйлөшүүгө айландырат.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Бир сапты тандап, ага берилүү керек. Саптар — кадамдар эмес, альтернативалар, жана аларды аралаштыруу кароодо эч ким түшүндүрө албаган долбоорду берет.

Маршрутталган булакты сактоо

Алыскы жак төмөнкү даректен сурам алат, ошондуктан ага ошол ички тармак үчүн колдоого алынган маршрут жана peer ээлиги, кошумча аны кабыл алууга уруксат керек. Булар алыскы жөндөөлөр жана эч бир жергиликтүү Linux маршруту аларды түзбөйт. Аларды ачык жана жазуу түрүндө сураңыз, префикс жана аны ташыган туннелдик peer менен кошо, жана жооп кызматтын сайт-сайт чечимдерин колдойбу же жокпуга байланыштуу болот деп күтүңүз.

Жооп ооба болсо, жергиликтүү конфигурация кичине: өткөрүү күйгүзүлгөн, төмөнкү диапазонду камтыган WireGuard peerинин allowed-ipsтери жана өтмөнү эки багытта тең уруксат кылган firewall саясаты.

Атайын булак котормосу

Эгер кызмат трафикти жалганган кардар дарегине гана кайтарса, чыгууда булакты ошол дарекке которуңуз жана жооптор үчүн аны тескери айландырган conntrack абалын сактаңыз. Эрежени болжолдонгон төмөнкү булактар, болжолдонгон алыскы даректер жана жогорку интерфейс менен чектеңиз. Ар бир интерфейстен чыккандын баарын которгон эреже бул талаптан алда канча чоң саясат жана ал сизди кийин таң калтырат.

IPv6 өз долбоорун талап кылат; IPv4 masquerade сабын көчүрүү — архитектура эмес. Которулган жолду кэштеги байланыш менен эмес, жаңы байланыш менен сынаңыз.

Жергиликтүү дайындар жолу дагы деле иштеши керек

Которуу жергиликтүү иштерди жойбойт: шлюзгө дагы деле төмөнкү даректерге маршрут, WireGuard peerинин туура булак ээлиги, күйгүзүлгөн өткөрүү жана интерфейстердин ортосунда тар firewall саясаты керек. Шлюздун өзүндө түзүлгөн сурам ошол уруксаттардын бирин да сынабайт, ошондуктан шлюздөгү жергиликтүү сыноолор өтөт, ал эми төмөнкү түзмөктөр дагы деле ишке ашпайт.

Шлюздөн эмес, чыныгы төмөнкү түзмөктөн сынаңыз. Булак дареги — бул көнүгүүнүн бүт маңызы.

Бир булак — бир сессия идентификатору

Алыскы кызмат ар бир төмөнкү түзмөк үчүн өзүнчө аутентификацияны эмес, шлюздун аутентификацияланган сессиясын жана анын которулган дарегин көрөт. Түзмөк боюнча уруксаттарды жана колдонмо идентификаторлорун ачык кармаңыз жана бир нече түзмөк үчүн иштеген шлюзгө таптакыр уруксат барбы же жокпу кызматтын ээси менен ырастаңыз. Которуу — түзмөк сайын каттоо талабын айланып өтүү жолу эмес; кызмат ар бир түзмөктүн катталышын талап кылса, ошол моделди колдонуңуз же сайт-сайт чечими тууралуу сүйлөшүңүз.

Бул ырастоону эреженин жанындагы runbookка жазыңыз, анткени кийинки кароочу долбоор бекитилдиби же жөн гана ыңгайлуубу деп сурайт.

Ажыраган абалды аныктаңыз, анан үч сурамды сынаңыз

Жогорку туннель кулаганда эмне болорун чечиңиз. Уруксат берилген алыскы трафик тыюу салынган жерде кадимки WANдын камдык жолу менен үнсүз жүрбөшү керек, ошондуктан өтмөнү уруксат кылган firewall саясаты жабык абалда да ишке ашпашы керек. Анан чыныгы төмөнкү түзмөктөн үч учурду сынаңыз: иштеген уруксат берилген сурам, ишке ашпаган тыюу салынган сурам жана уруксат берилгенди токтоткон жогорку бузулуу.

Кайтарууну ар бир эреже үчүн бир сапка жазыңыз, ошондо өзгөртүүнү ниетти кайра курууга муктаж болбостон жокко чыгарса болот.