SNAT, DNAT a Masquerade: wat all VPN-NAT-Reeg mécht

Setz eng Erfaassung op béide Säite vun engem VPN-Gateway an eng eenzeg Stréimung kann véier verschidden Adressen weisen. Quell-NAT schreift ëm, wou e Paket behaapt hierzekommen; Destinatiouns-NAT schreift ëm, wou en hiengeet. Masquerade ass keng drëtt Richtung, et ass eng Quell-NAT-Regel, déi hir Adress vun der Ausgangs-Schnittstell hëlt amplaz vun engem feste Wäert. Nennt déi vun den dräi, déi Dir wierklech braucht, an déi meescht „de VPN ass futti“-Ticketen schrumpelen op eng Fro iwwer de Retourwee.

Wat all Regel ëmschreift

Quell-NAT, meeschtens SNAT geschriwwen, ännert d'Quelladress vun enger Stréimung, wann se e Router oder e Gateway verléisst. De Service, dee kritt, äntwert op déi iwwersat Adress, an d'Këscht, déi iwwersetzt, mécht d'Ännerung mat dem Zoustand réckgängeg, deen se fir déi Verbindung behalen huet. Ënner Linux liewt deen Zoustand am conntrack, dofir dréckt conntrack -L déi originell an d'Äntwert-Tupelen niewenteneen.

Destinatiouns-NAT, DNAT, ännert amplaz d'Destinatioun. E Paket, dat op eng ëffentlech Adress um UDP 51820 adresséiert ass, kann op e internen WireGuard-Server op 10.8.0.2:51820 ëmgeschriwwe ginn. Sou publizéiert en Heemrouter oder e Cloud-Lastbalancer en VPN-Lauschterer, an dat seet näischt doriwwer, wat den Tunnel duerno droe kann.

Masquerade gehéiert zur SNAT-Famill. D'Regel nennt keng Adress; se benotzt déi, déi d'Ausgangs-Schnittstell huet, wann de Paket fortgeet. Linux gëtt hir en eegent Zil, an et ass déi üblech Wiel op enger WAN-Schnittstell, déi hir Adress vum DHCP oder PPPoE kritt.

Wou d'Mapping liewt, entscheet de Feeler

Schreift d'Tupel op all Grenz op: virum Tunnel, dran an op der ëffentlecher Schnittstell. Eng Erfaassung am Tunnel ënnerscheet sech legitimerweis vun enger dobaussen, a jidderen, dee béid vergläicht ouni ze wëssen, wou d'Iwwersetzung geschitt, jagt de falschen Host.

De Retourstrafic muss duerch d'Apparat goen, dat d'Mapping hält. Wann d'Äntwert en anere Wee hëlt, en zweeten Uplink, eng Policy-Route oder en Ubidder, dee vun Ärem private Beräich nach ni héieren huet, geschitt déi stateful ëmgedréit Iwwersetzung ni an de Client gesäit Eenrichtungsverkéier. Méi Quell-NAT beseit seelen en feelende Retourwee; et kann de Symptom op enger Stréimung verstoppen an gläichzäiteg d'adressbaséiert Politik iwwerall anescht briechen.

Déi aner heefeg Feeler ass ze erwaarden, datt en Tunnel Routingfäegkeet schaaft. E private Client, deem seng Paketen an den Internet ginn, brauch eng gülteg Ausgangsreegelung: eng Standardroute, en Gateway, dee weiderleet, an normalerweis Quell-Iwwersetzung op eng ëffentlech Adress. Verschleierung eleng mécht eng privat Adress net erreechbar.

Masquerade oder explizit SNAT

Vergläicht déi zwou no deem, wat se verspriechen. Masquerade wielt d'Ausgangsadress, explizit SNAT fixéiert se. Op engem Gateway mat enger stabiler ëffentlecher Adress gëtt d'Fixéierung de Loggen an de Partner-Erlaabnislëschten een viraussobaren Wäert. Op engem dynamesche WAN-Link gëtt eng fixéiert SNAT-Adress falsch am Moment, wou de Lease sech ännert, an genau fir dee Fall gouf Masquerade gebaut.

D'Spannwäit zielt souvill wéi d'Wiel. Eng Masquerade-Regel, déi op all Paket passt, dat de Gateway verléisst, ouni Quell- oder Destinatiounsgrenz, iwwersetzt och Trafic, deen Dir onberéiert wëllt loossen, abegraff Trafic op aner privat Netzwierker. Beschränkt d'Regel op de Clientberäich, d'beabsichtegt Destinatioun an d'Schnittstell.

Bei policybaséiertem IPsec bäisst dat am haardsten. Dem strongSwan seng Weiderleeungs-Guide geet duerch d'Aktivéiere vun IP-Weiderleeung an d'Bäifüge vun enger Quell-NAT-Regel fir Clienten, an déiselwecht Dokumentatioun deckt d'Ausschleißen vum Trafic of, dee seng originell Adress behale muss. Iwwersetzt eng Quell, ier d'Sécherheetspolitik se entsprécht, an den Tunnel kann eropkommen, während den Trafic nach ëmmer fält, well de Paket net méi wéi dee verhandelten Selektor ausgesäit.

Entscheet och, wat de wäiten Enn gesinn soll. No der Iwwersetzung gesäit e Service de Gateway, net de einzelnen Client. Dat vereinfacht d'Retourrouting an hält gläichzäiteg d'Loggen flaach a mécht Erlaabnislëschte pro Client zergutt. Wann et drop ukënnt, Clientadressen ze behalen, plangt eng gerouteten Retourwee, amplaz se ze verstoppen, fir datt en Test duerchkënnt.

D'Regelen op engem Linux-Gateway liesen

En Fernzougangs-Gateway mat Clienten op 10.8.0.0/24 an enger WAN-Schnittstell mam Numm eth0 brauch aktivéiert Weiderleeung an eng Filterpolitik, déi d'Stréimung erlaabt, ier eng NAT-Regel ka hëllefen. D'iptables-Versioun hält béid Richtungen an der nat-Tabell:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 51820 \
  -j DNAT --to-destination 10.8.0.2:51820

D'nftables-Form benotzt déiselwecht zwee Hooken mat enger genannter Schnittstell an enger expliziter Kette:

nft add rule ip nat postrouting ip saddr 10.8.0.0/24 oifname "eth0" masquerade
nft add rule ip nat prerouting iifname "eth0" udp dport 51820 dnat to 10.8.0.2:51820

Béid Auszich setzen viraus, datt d'Filterkette déi weidergeleet Stréimung schonn akzeptéiert. NAT ass keng Erlaabnisregel, an e korrekt iwwersate Paket kann eng Tabell méi spéit nach verworf ginn. Bestätegt d'lieweg Mapping mam conntrack -L, bestätegt wat gelueden ass mam nft list ruleset oder iptables-save -t nat, a maacht dann eng Erfaassung op béide Schnittstellen, fir ze gesinn, datt d'Adress wierklech ännert.

Feelermodi, déi wéi eng schlecht Regel ausgesinn

Hoernol-Trafic ass de Klassiker. En internen Client, deen en internen Server iwwer dem Server seng ëffentlech Adress erreecht, brauch den DNAT um Wee eran an eng Quell-Iwwersetzung um Wee eraus, soss äntwert de Server direkt dem Client an d'Äntwert gëtt verworf. D'Léisung ass eng zweet, méi enk Regel fir deen interne-zu-ëffentleche Fall, net eng méi breet Masquerade-Regel fir alles.

Duebel Iwwersetzung ass déi stëll. En Client, deen schonn hannert Carrier-Grade-NAT ass, kënnt mat enger Adress op Äre Gateway, déi Dir net zréckroute kënnt, also iwwersetzt Dir nach eng Kéier. Et funktionéiert, awer d'Loggen droen elo zwee Spréng privat Adresséierung an all Enquête brauch béid Mappings. Policybaséiert IPsec bäisst eng drëtt Dréiung derbäi: iwwersetzt virum Politik-Match an Dir kritt eng SA, déi steet ouni datt Trafic duerchgeet, wat wéi e Firewall-Fehler gelies gëtt an net wéi en NAT-Fehler.

Dann ass et den Test, deen duerchkënnt, an d'Deployment, dat feelt. Den NAT-Befehl vun Hand lafe léisst beweist de Mechanismus, net d'Konfiguratioun. Eng Regel, déi zur Laufzäit bäigefüügt gëtt, verschwënnt beim Neistart oder beim nächsten Interface-Event, an eng Masquerade-Regel, déi un eng Schnittstell gebonnen ass, déi sech nei nummeréiert, kann d'Adress, déi dat wäit Enn gesäit, stëll ännern. Setzt d'Regel an d'Konfiguratioun vun der Firewall, déi se huet, a test nach eng Kéier no enger Neiverbindung.

Checklëscht ier Dir d'Regel späichert

Nennt als éischt d'Richtung: Quell, Destinatioun oder béid. Bestëmmt duerno, wien den Zoustand halen muss — de Gateway, de Router driwwer oder de IPsec-Peer — a bestätegt, datt de Wee vun der Äntwert duerch hie zréckkënnt. Beschränkt d'Regel op de Clientberäich, d'Destinatioun an d'Schnittstell, déi Dir wierklech mengt, an entscheet am Viraus, ob dat wäit Enn de Gateway oder d'originell Clientadress gesinn soll.

Test vun engem Client, net vum Gateway. E Browser um Gateway selwer kann d'Client-Iwwersetzungsregel komplett ëmgoen, also beweist eng Säit, déi do funktionéiert, näischt iwwer den Tunnel. Schéckt eng eege Ufro, déi vum Client hierkënnt, kuckt d'Comptairen an d'conntrack-Tabell, a widderhëlt et no enger Neiverbindung vum Tunnel an enger Ännerung vun der WAN-Adress, wann eng vun deenen zwou méiglech ass do, wou Dir schafft.