Downstream-Cliente hannert engem Upstream-VPN: Route oder NAT?

Een Gateway bedreift WireGuard fir deng eegen Apparater an en OpenVPN-Client op engem aneren d'Netzwierk. D'Weiderleede tëschent den zwou inneren Interface'en fonctionnéiert, an et ass einfach ze schléissen, datt den Downstream-Subnetz elo Deel vum Upstream-Service ass. Et ass net. Eng Route, déi de Client zitt, seet dengem Gateway, wouhin d'Ufroen ze schécken; si seet näischt driwwer, wéi dat wäit Netzwierk Trafic un Apparater zréckschéckt, vun deenen et nach ni héieren huet. Wiel en Zréckwee-Modell, deen den Upstream wierklech ënnerstëtzt, ier du eng eenzeg Regel dobäi setz.

Entscheet dech fir de Zréckwee-Modell, ier du d'Routing uppackst

An dëser Uleedung benotzen d'Downstream-Cliente 10.90.0.0/24, d'Upstream-Tunneladress, déi dem Gateway zougewisen ass, ass 10.80.0.6, an déi guttgeheescht wäit Ressource ass 172.20.0.30. Zwee Modeller passen op déi Form: d'Downstream-Quell behalen an déi wäit Säit dozou bréngen, se ze routeren, oder d'Quell op d'Tunneladress vum Gateway selwer iwwersetzen. Alles no dëser Entscheedung ass mechanesch, an d'Entscheedung selwer brauch den Eegentemer vum Service. Déi eng Zeil uewen ass eng Routing-Vereenbarung mat der wäiter Säit; déi aner ass eng lokal Politikännerung, déi du eleng kaast maachen. Dës zwee ze verwiesselen ass dat, wat eng Ännerung vun zéng Minutten an eng Verhandlung ëmwandelt.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Wiel eng Zeil a bleif dobäi. D'Zeile sinn Alternativen, net Schrëtt, an hire Mëschung ergëtt en Design, deen een an der Iwwerpréiwung net erkläre kann.

Geroutete Quellerhalt

Déi wäit Säit kritt eng Ufro vun enger Downstream-Adress, also brauch si eng ënnerstëtzt Route an d'Peer-Eegentum fir dee Subnetz, plus d'Autorisatioun, se unzehuelen. Dat sinn wäit Astellungen, an keng lokal Linux-Route schaaft se. Frot se explizit a schrëftlech un, mam Präfix an dem Tunnel-Peer, deen et dréit, a reech domat, datt d'Äntwert dovun ofhänkt, ob de Service iwwerhaapt Site-to-Site-Ofläif ënnerstëtzt.

Wann d'Äntwert jo ass, ass déi lokal Konfiguratioun kleng: Weiderleede ageschalt, d'allowed-ips vum WireGuard-Peer, déi de Downstream-Beräich decken, an eng Firewall-Politik, déi d'Kräizung a béid Richtungen erlaabt.

Bewosst Quelltranslatatioun

Wann de Service den Trafic nëmmen un d'Adress vum verbonnenen Client zréckschéckt, iwwersetz d'Quell beim Erakommen op déi Adress a behalt de conntrack-Zoustand, deen se fir Äntwerten ëmdréit. Beschränk d'Regel op déi virgesinn Downstream-Quellen, déi virgesinn wäit Destinatiounen an den Upstream-Interface. Eng Regel, déi alles iwwersetzt, wat aus all Interface erausgeet, ass eng vill méi grouss Politik wéi dës Fuerderung, an se wäert dech méi spéit iwwerraschen.

IPv6 brauch säin eegent Design; eng IPv4-Masquerade-Zeil ze kopéieren ass keng Architektur. Test de iwwersetzte Wee mat enger neier Verbindung amplaz enger gecachter.

De lokalen Datenwee muss nach ëmmer funktionéieren

D'Iwwersetzung hëlt d'lokal Aarbecht net ewech: de Gateway brauch nach ëmmer eng Route fir Downstream-Destinatiounen, dat richtegt WireGuard-Peer-Quelleneegentum, ageschalt Weiderleede an eng schmuel Firewall-Politik tëschent den Interface'en. Eng Ufro, déi um Gateway selwer entsteet, übt keng vun deenen Autorisatiounen aus, dofir bestinn lokal Tester um Gateway, während Downstream-Apparater nach ëmmer versoen.

Test vun engem richtegen Downstream-Apparat, net vum Gateway. D'Quelladress ass de ganzen Zweck vun der Übung.

Eng Quell heescht eng Sessiounsidentitéit

De wäite Service gesäit d'authentifizéiert Sessioun vum Gateway an seng iwwersat Adress, net eng onofhängeg Authentifikatioun fir all Downstream-Apparat. Halt d'Autorisatiounen pro Apparat an d'Applikatiounsidentitéiten explizit, a bestäteg beim Eegentemer vum Service, datt en Gateway, deen fir méi Apparater handelt, iwwerhaapt erlaabt ass. D'Iwwersetzung ass kee Wee, eng Fuerderung no Aschreiwung pro Apparat z'ëmgoen; wann de Service verlaangt, datt sech all Apparat aschreift, benotz dee Modell oder verhandel en Site-to-Site-Oflaf.

Schreif déi Bestätegung an d'Runbook nieft d'Regel, well déi nächst Iwwerpréiwung wäert froen, ob den Design guttgeheescht oder just bequem war.

Definéier den ofgetrennte Zoustand an test dann dräi Ufroen

Entscheet, wat geschitt, wann den Upstream-Tunnel fällt. Autoriséierten wäiten Trafic sollt net stëll engem gewéinlechen WAN-Fallback nokommen, wou dat verbueden ass, dofir soll d'Firewall-Politik, déi d'Kräizung erlaabt, och zoue versoen. Test dann dräi Fäll vun engem richtegen Downstream-Apparat: eng erlaabt Ufro, déi funktionéiert, eng net erlaabt Ufro, déi versoe geet, an en Upstream-Feeler, deen déi erlaabten ophält.

Halt de Réckroll an enger Zeil pro Regel fest, sou datt d'Ännerung kann zeréckgeholl ginn, ouni d'Absicht nei opzebauen.