Sollt Dir SNAT op eng Port-Weiderleedung an en VPN-Subnetz uwenden?

D'Weiderleeden vun engem Port un en Host, deen hannert dem eegene VPN-Client vum Router sëtzt, schléit op eng Manéier fehl, déi wéi e Firewallproblem ausgesäit, well d'Ufro kloer ukënnt. Den Déngscht logt eng Verbindung, de Client waart, an et kënnt näischt zréck. D'Zil-Iwwersetzung huet seng Aarbecht gemaach; de Réckpaket ass deen Deel, deen verschwonnen ass. Eng eenzeg selektiv Quell-NAT-Regel um Router fléckt dat, an den interessanten Deel ass ze entscheeden, wéi schmuel dës Regel ka sinn.

Firwat d'Äntwert en anere Wee hëlt

Eng Port-Weiderleedung schreift ëm, wou e Paket higeet, ni wou et hierkënnt. D'Adress vum Internetclient bleift am Quellfeld de ganzen Tunnel duerch, also gesäit den entfernten Déngscht en Friemen a äntwert nëmmen op déi Manéier, déi en kennt: iwwer seng eege Standardgateway. Dee Gateway ass de VPN-Concentrator op der anerer Säit, deen engem arbiträren ëffentlechen Adress kee Wee zréck huet.

Kuckt eng Opnam op der Tunnel-Schnittstell an d'Asymmetrie ass evident: Ufro-Paketen eraus, näischt eran. D'Weiderleedungskette huet de Flux erlaabt an den Tunnel huet en gedroen, also geschitt de Verloscht nodeems den entfernten Host schonn e Réckwee gewielt huet.

Eng Quellregel, schmuel genuch fir ze vertrauen

Maacht den Router zu der Quell, op déi den entfernten Host äntwert. An dësem Layout ass d'WAN-Adress 203.0.113.24, d'LAN ass 192.168.88.0/24, d'Tunneladress vum Router ass 172.20.5.1, an den Déngscht äntwert op 172.20.5.40:8443. D'Regel hei drënner entsprécht dem Paket no der Zil-Iwwersetzung, dofir nennt se déi iwwersat Adress an net déi ëffentlech. Näischt dran hänkt vun der Adress vum Client of, an dat ass genau de Punkt.

iptables -t nat -A POSTROUTING -o tun0 -p tcp -d 172.20.5.40 --dport 8443 -j SNAT --to-source 172.20.5.1

All Iwwereneestëmmung an där Linn existéiert fir d'Ëmschreiwen lokal op een Déngscht op engem Tunnel ze halen. Huelt d'Schnittstell oder de Port ewech an Dir schreift méi Verkéier ëm wéi de Problem verlaangt, an esou gëtt eng geriicht Korrektur fir déi nächst Persoun en Rätsel.

Wéini eng allgemeng Maskerade déi éierlech Wiel ass

Wann de Router vill Déngschter an deeselwechte VPN-Subnetz weiderleet, gëtt eng Regel pro Déngscht eng Lëscht, déi keen ënnerhält. Alles ze maskéieren, wat d'Tunnel-Schnittstell verléisst, ass méi einfach a viraussobar, op de Käschte vun der Verberegung vum urspréngleche Client virun all Host op der anerer Säit. Wielt et, wann d'Loggen do net fir Attributioun benotzt ginn; behält déi schmuel Regel, wann se et ginn.

Déi zwou Optiounen triede sech och anescht. Eng feelend schmuel Regel brécht een Déngscht; eng breet Maskerade, déi ze vill entsprécht, kann onbemierkt Verkéier ëmschreiwen, deen schonn funktionéiert huet, och d'eegen erausgänglech Verbindunge vum Router.

Préift d'Zieler virum Verëffentlechen

Regele, déi ni entspriechen, gesinn identesch aus wéi Reegelen, déi schaffen, bis Dir Pakete zielt. Liest den Table mat Byte-Zieler nach eng Kéier, éier ee Client sech verbënnt, verbënnt Iech du vun engem Netzwierk, dat net d'LAN ass, a liest en nach eng Kéier. Zwee Liesen sinn dat, wat eng Vermutung an eng Tatsaach ëmwandelt. Verëffentlecht d'Weiderleedung eréischt nodeems déi zweet sech beweegt.

iptables -t nat -L POSTROUTING -v -n --line-numbers

En Nullzieler op der Quellregel no enger richteger Verbindung heescht, datt d'Iwwereneestëmmung falsch ass, meeschtens well d'Zil oder de Port net zum Paket no der Iwwersetzung passt. Wann den Zieler klëmmt, awer de Client nach ëmmer an d'Time-out leeft, ass de Réckwee reparéiert an eppes anescht verwërft d'Äntwert, also kuckt duerno op d'Weiderleedungspolitik op der anerer Säit. Hairpin-Zougrëff aus dem LAN ass e getrennte Problem a brauch seng eege Regel, net eng méi breet Versioun vun dëser.