Tëschent private LANe routeren, ier Dir nach en NAT derbäisetze

Zwee intern Firewallen, ee private Transitsegment an eng Ufro, e puer Hosten an all LAN mat deenen an deem aneren ze schwätzen ze loossen. De Reflex ass eng VPN opzesetzen oder eng zweet NAT-Schicht derbäizesetzen, an allebéid Reflexe kaschten méi wéi de Problem verdéngt. Gewéinlech Routing ass genuch, wa dräi Bedéngungen erfëllt sinn: d'Adressberäicher iwwerlappen net, béid Säiten kënnen den Trafik an deen anere LAN zréckschécken, an d'Transitsegment ass fir d'Daten schonn vertrauenswürdeg genuch. Préift déi dräi, ier Dir eppes designt, well jiddwereen dovunner d'Äntwert ännert.

Dräi Bedéngungen, déi den Design entscheeden

Déi éischt Bedéngung ass den Adressraum. Wann béid LANen dee selwechte RFC 1918-Block benotzen, kann Routing se net ënnerscheeden an d'Iwwersetzung gëtt onvermeidlech amplaz optional. Déi zweet ass en Zréckwee: eng Route vum A op B ass nëtzlos, wann B net och weess, wéi een den LAN vum A erreecht, an asymmetrescht Wëssen ass dee heefegste Grond, firwat en gerouteten Design Äntwerten stëll fale léisst.

Déi drëtt ass Vertrauen. Routing beweegt Paketen; et schützt se net. En private Transitsegment bannent engem Gebai ass eppes anescht wéi eng Iwwergab un en Ubieder oder eng Verbindung, déi e gedeelte Campus-Backbone duerchkräizt. Wann d'Segment net vertrauenswürdeg ass, ass d'Äntwert en Tunnel tëscht den zwou Firewallen, an de Routingplang hei drënner gëllt nach ëmmer dobannen.

Nëmmen wa béid dräi an déi selwecht Richtung weisen, gewënnt den einfachen Design. Wa joeng dovunner feelt, reparéiert genee déi Bedéngung explizit, amplaz se mat Iwwersetzung ze iwwerdecken, well NAT de Feeler verstoppt amplaz en ze léisen.

Baut de Routeplang um Transitnetz

Gitt all Firewall eng Adress um gedeelte Segment an setzt eng spezifesch Route pro wäitem LAN derbäi. Soss muss sech näischt un der bestehender Konfiguratioun beweegen, a besonnesch d'Internet-Defaultroute muss genee do bleiwen, wou se ass. Eng Defaultroute duerch de Peer-Firewall z'ersetzen, géif all onbezunn Destinatioun iwwer den Transit schécken, wat eng vill méi grouss Ännerung ass wéi déi gefrot. D'pfSense-Dokumentatioun zum statesche Routing beschreift deeselwechte Route-plus-Gateway-Modell fir déi Plattform, an déi entspriechend Astellung existéiert op all Firewall, déi Dir tatsächlech bedreift.

Firewall A bedéngt 10.30.0.0/24 a Firewall B bedéngt 10.40.0.0/24, woubäi déi zwou Transitadressen op 192.0.2.0/24 sinn. All LAN-Host behält seng lokal Firewall als Gateway, sou datt den eenzegen neie Stand eng Route op all Säit ass. Op enger Linux-baséierter Firewall gesäit deeselwechte Plang esou aus, an d'Weiderleede muss aktivéiert sinn, soss gëtt d'Route opgeléist, wärend de Pak verluert geet.

sysctl -w net.ipv4.ip_forward=1
ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1
ip route get 10.40.0.15
traceroute -n 10.40.0.15

Hält d'Filtere getrennt vun der Iwwersetzung

Routing a Politik sinn ënnerschiddlech Kontrollen, an et ass bei der zweeter, wou déi meescht geroutet Designen tatsächlech feelen. Erlaabt déi spezifesch Quellen, Destinatiounen a Servicer op der Antrëttsgrenz, déi d'Paketen tatsächlech duerchkräizen, a denkt drun, datt e Interface-Label wéi WAN en Numm ass an net eng Ausso iwwer Vertrauen. En Transitport, deen private Trafik dréit, kann nach ëmmer d'Blockéiere vun private Adressen als Standard ageschalt hunn.

Kuckt dann op d'Ausgangsiwwersetzung, ier Dir schléisst, datt keen NAT geschitt. Automatesch Ausgangsregelen kënnen Trafik ëmschreiwen, deen ni fir Iwwersetzung geduecht war, an dat zerstéiert d'Quelladressen, déi déi aner Säit fir seng eege Politik a seng Loggen brauch. Bestätegt, datt déi ausgewielt Flëss hir ursprénglech Adressen halen, a loosst d'Internet-Iwwersetzungsregelen a Rou fir den Trafik, dee se nach brauch.

iptables -t nat -S POSTROUTING
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni eth1 -c 5 host 10.40.0.15

Wann NAT déi éierlech Äntwert ass

Iwwersetzung verdéngt hire Platz, wann d'Adressberäicher wierklech iwwerlappen an d'Renummeréierung net disponibel ass, oder wann eng Politik verlaangt, datt eng Säit eng eenzeg Adress amplaz engem Subnet gesäit. An deene Fäll ass eng bewosst Een-zu-Een- oder portlimitéiert Kartéierung eng Designentscheedung mat bekannten Konsequenzen, keen Auswee.

D'Konsequenz, déi ee lued muss soen, ass datt déi aner Säit eenzel Quellen net méi gesäit oder filtert. D'Loggen zerbriechen op d'Iwwersetzungsadress, d'Politik pro Host funktionéiert net méi, an d'Feelerbehandlung gëtt eng Juegd dorop, wéi en internen Host zu engem bestëmmten Ament e Floss hat. Wann dat alles fir den Trafik a Fro net wichteg ass, ass NAT an der Rei.

Wann den Transit selwer déi falsch Unehuele ass

Wann d'gedeelt Segment en Ubieder, eng gedeelt Switch-Fabric oder iergendeen Wee duerchkräizt, wou eng aner Partei den Trafik kéint liesen, ass Routing eleng keng komplett Äntwert. En Tunnel tëscht den zwou Firewallen gëtt Iech Vertraulechkeet a Peer-Authentifikatioun, an d'Routentabell dobannen ass déiselwecht Tabell, déi Dir um Transit geschriwwen hätt.

Entscheet dat aus der Vertrauensfro am éischten Deel, net aus enger Gewunnecht, datt VPNen sécherer sinn. En Tunnel iwwer e Segment, dat schonn privat ass, setzt Betribskäschte an ee weidere Feeler-Modus ouni Gewënn derbäi, wärend Routing iwwer en net vertrauenswürdegt Segment Vertraulechkeet géint eng Einfachheet tauscht, déi Dir Iech net leeschte kënnt. Schreift op, wéi eng vun den dräi Bedéngungen d'Wiel gedriwwen huet, an den nächsten Ingenieur muss et net nach eng Kéier ausdiskutéieren.