Masquerade oder Policy-Routing: LAN-Traffic duerch en VPN-Gateway

En ganzt LAN hannert en VPN-Tunnel ze setzen ass deen einfachen Deel; ze entscheeden, wéi déi wäit Säit déi Cliente gesäit, net. Masquerade schreift all LAN-Quell op d’Tunneladress vum Gateway ëm, sou datt déi wäit Säit engem Peer äntwert. Policy-Routing hält déi originell Adressen a verlaangt, datt déi wäit Säit weess, wéi et se erreecht. Keng vun deenen zwee ass Standard; d’Wiel kënnt dovu, wiem déi wäit Säit gehéiert an ob d’Identitéit pro Apparat wichteg ass.

Déi zwee Designen verspriechen ënnerschiddlech Saachen

Masquerade reduzéiert de LAN op ee sichtbaren Host: de Gateway. Den wäite Reseau äntwert op déi eng Adress, an de Gateway iwwersetzt d’Äntwerten zréck op de Client, deen de Flux ugefaangen huet. Op der wäiter Säit ass keng Route zu Ären private Prefixen néideg, dofir iwwerlieft dëst Design och e Provider, deen se refuséiert ze droen. De Gateway gëtt och d’Quell vun all Verbindung, sou datt déi wäit Säit zwee Cliente net ënnerscheede kann.

Policy-Routing hält all Clientadress intakt. Den wäite Reseau gesäit déi tatsächlech Quell a kann se loggen, eng Regel pro Host uwenden oder d’Äntwert direkt op déi Adress schécken. Dës Visibilitéit ass de ganze Punkt, an se kënnt mat enger Flicht: déi wäit Säit muss eng Route fir de LAN-Prefix hunn, déi duerch den Tunnel zréck weist. Planee dës Route, ier s déi Regel aschalt, well den Tunnel kënnt souwisou erop an et feele just d’Äntwerten.

D’Feelermodusen ënnerscheede sech esou vill wéi d’Verspriechen. Eng fehlend Masquerade-Regel produzéiert Paketen, déi mat private Quellen erausgoen an ni zréckkommen. Eng fehlend Retourroute produzéiert déi selwecht Symptomer ënner Policy-Routing, awer d’Korrektur gehéiert op den wäite Router an net op de Gateway.

Masquerade: ee Peer op der wäiter Säit

De Masquerade-Wee huet eng Rei, déi wichteg ass. D’Weiderleedung muss ageschalt sinn, ier eng NAT-Regel eppes nëtzt, d’Filtertabell muss den Duerchgang a béid Richtunge erlaben, an eréischt dann gëllt d’Iwwersetzung op der Tunnel-Interface.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

D’Cliente brauchen nach ëmmer e Wee zum Gateway. Entweder ass de Gateway hire Standardrouter, oder si droen eng spezifesch Route fir de wäite Prefix; wann en separate Router de Standard bleift, brauch deen Router eng statesch Route fir d’Tunnelziler, soss geet de Paket op de falschen Hop, ier de Gateway en gesäit.

DNS ass eng separat Entscheedung. En Resolver op der wäiter Säit äntwert just, wann seng Äntwert zréck op de Client ka reesen. Ënner Masquerade schéngt d’Ufro vum Gateway ze kommen, dofir ass de Retourweg vum Resolver schonn erfëllt; ënner Policy-Routing brauch de Resolver dee selwechte Retourweg wéi all aner wäit Service.

Policy-Routing: behalt d’Quell, füüg en Retourweg bäi

Policy-Routing fänkt mat enger Tabell an enger Regel un, déi se auswielt. Traffic, deen aus der LAN-Interface kënnt, gëtt an eng eege Tabell geschéckt, an déi Tabell dréit eng Standardroute duerch den Tunnel. D’Haapttabell bleift onberéiert, sou datt Traffic, deen de Gateway selwer produzéiert, en anere Wee kann huelen.

ip rule add iif eth1 table vpn
ip route add default dev tun0 table vpn

Déi wäit Säit muss dann de LAN-Prefix duerch den Tunnel zréck routeren. Dat ass eng Konfiguratioun um wäite Router, net op dësem Gateway. De Gateway muss och Äntwerten unhuelen, déi op enger anerer Interface ukommen wéi d’Haapttabell géif viraussoen; lues Ëmwee-Filterung (rp_filter op 2 gesat) ass déi üblech Upassung, wann de strenge Modus déi Paketen verwërft.

Wann zwee Tunnele aktiv sinn, markéier all Flux beim Entrée a loos d’Markéierung d’Tabell wielen. Eng Regel, déi nëmmen op d’Input-Interface kuckt, schéckt den Traffic vu béiden Tunnele an déi selwecht Tabell, sou datt den zweeten Tunnel dem éischten d’Flëss klaut. Test d’Markéierung mat enger Verbindung, déi eng Reconnectioun iwwerlieft, well da weist sech eng gemëschte Politik.

Entscheed no Besëtz an no deem, wat déi wäit Säit loggt

Wann den Tunnel bei engem Provider ophält, benotz Masquerade. Dee Bedreiwer wäert Är privat LAN-Bereicher net routeren, an hien huet kee Grond, eenzel Cliente hannert Ärem Gateway z’ënnerscheeden. Een sichtbare Peer ass dat eenzegt Modell, dat seng Politik ënnerstëtzt, also gitt him dat a behält d’Iwwersetzung op Ärem Rand. De Provider gesäit ee Peer, wat genau dat ass, wat seng Politik erwaart, an Är Cliente ierwen déi eng Identitéit.

Wann béid Enner Är sinn an déi wäit Servicer op Quelladressen handelen, verdéngt Policy-Routing seng zousätzlech Route. Firewall-Reegelen, Zougang pro Benotzer an Audit-Logge kënnen dann Cliente ënnerscheeden. Wann déi wäit Säit just Erreechbarkeet brauch, ass Masquerade méi einfach a läscht eng Klass vu Retourroute-Feeler aus.

Hybrid Designen sinn normal: Policy-Routing an Ärem eegene Reseau, Masquerade um Provider-Rand. Wichteg ass opzeschreiwen, wéi en Hop iwwersetzt a wéi en Hop routet, well eng zoufälleg NAT-Regel, déi fir een Client bäigesat gëtt, d’Quell fir all Client an der selwechter Kette verstoppt.

Verifizéier vun engem Client, duerno vun engem zweete Client

Féier den Test do duerch, wou den Traffic ufänkt. Kontrolléier d’Route, déi den Host benotzt, kuck wéi de Paket op der Tunnel-Interface erschéngt, an iwwerpréif conntrack fir d’Iwwersetzung. Déi Reiefolleg beweist, datt de Paket den intendéierte Wee geholl huet, an net just irgendwou ukomm ass.

Widderhuel den Test no enger Reconnectioun. Eng Masquerade-Regel, déi d’Interface nennt, iwwerlieft eng nei Tunneladress; eng Regel, déi déi al Adress nennt, net. Test duerno en zweete LAN-Host, well en Design, deen op enger Maschinn funktionéiert, dacks vun der eegener Route vun där Maschinn ofhänkt an net vun der Politik vum Gateway.

Schreif de gewielte Modell, déi iwwersat oder behalen Quell an den Eegentemer vun der Retourroute an d’Gateway-Notizen. Soss rät déi nächst Persoun, déi e Client oder en Tunnel bäisetzt, an e Rätsel ass de Wee, wéi aus enger funktionéierender LAN-zu-VPN-Konfiguratioun eng deelweis gëtt.