Zwee VPN-Clients, zwee ëffentlech Adressen: SNAT passend maachen

Zwee VPN-Clients kënnen duerch zwee verschidden ëffentlech IPv4-Adressen erausgoen, an d’Reegel déi dat mécht ass méi kuerz wéi déi meescht Leit erwaarden. Wat se funktionéiere léisst ass net d’iptables-Syntax, mä den Zoustand vum Pak wann en d’Egress-Kette erreecht: d’Quelladress do muss d’Clients nach ëmmer ënnerscheeden. Wann eng fréier Masquerade schonn allebéid op eng eenzeg Adress zesummegeluecht huet, kann keng Reegel pro Client den Ënnerscheed erëmbréngen. Klärt déi Fro als éischt, dann schreift d’Iwwersetzung.

Wéi eng Identitéit bis bei d’Gateway iwwerlieft

D’Reegel entsprécht der Quelladress vum Pak, net engem VPN-Benotzernumm an net dem Numm, deen eng Client-Applikatioun weist. Alles wat de Pak méi fréi um Wee iwwersetzt, bestëmmt wat Är Reegel nach ka gesinn. Fuert d’nat-Tabell an der Rei aus a fannt de Punkt, wou d’Quell nach pro Client ass.

iptables -t nat -S POSTROUTING

Liest déi Lëscht vun uewen. Eng Masquerade-Reeg no uewen iwwerschreift d’Quell fir all entspriechende Floss, an d’Cliente-Käschte matenee gesat, déi duerno placéiert sinn, entsprieche enger Adress, déi et net méi gëtt. Wann zwou LAN-Apparater een Tunnel deelen an als eng eenzeg intern Adress ukommen, muss den Design sech änneren ier d’Firewall et mécht: haalt hir Quellberäicher getrennt oder gitt jidderee seng eege intern Adress.

Verbannt d’Zouweisung vun der interner Adress un den authentifizéierte Client. D’Adress un en aneren Apparat ze ginn iwwergëtt d’Egress-Politik mat, an d’Quell-Iwwersetzung ass eleng keen Identitéitsbeweis.

Iwwersetzung kann keng Adress erféieren

All ëffentlech Adress muss dësem Egress-Punkt zougewisen oder dohinner geroutet ginn, an d’Äntwerten mussen de Wee zréck fannen. Eng Reegel déi Verkéier vun enger Adress schéckt, op déi keen zréck routet, gëtt um wäiten Enn verhämmert oder un en Host beäntwert, deen ni dorëm gefrot huet. Eng Instanz bei engem Cloud-Provider huet normalerweis seng ëffentlech Adress op eng privat Interface-Adress iwwersat, ier de Pak erausgeet, dofir muss d’SNAT-Quell déi Adress sinn, déi de Provider akzeptéiert, net de Wäert deen d’Konsole weist. Liest dem Provider säin Adressmodell a befollegt en, amplaz de ëffentleche Wäert an all Pak ze kopéieren.

An der Praxis heescht dat, de geroutete Prefix an der Konsole vum Provider ze kontrolléieren, ier Dir d’Firewall beréiert, an d’privat Interface-Adress als Iwwersetzungsquell ze benotzen, wann d’Mapping een-zu-een ass. D’Adressen an de Beispiller hei drënner kommen aus den Dokumentatiounsberäicher, dofir ass dat Éischt wat ersat muss ginn den Adresstext selwer.

Setzt virun der generescher Masquerade an

Bestätegt den Egress-Interface an déi aktuell Kette, ier Dir eppes derbäisetzt. Dat Éischt entscheet, wéi eng Päck d’Reegel entsprieche kann, an dat Zweete weist wat schonn dovir steet.

ip -4 route show default
iptables -t nat -L POSTROUTING -n -v --line-numbers

Den éischte Befehl nennt den Interface, duerch deen e Pak op den Internet tatsächlech erausgeet. Den zweete dréckt d’Kette mat Linnen-Nummeren. Den genereschen Masquerade-Antrag ass d’Linn, iwwer där Dir musst bleiwen.

iptables -t nat -I POSTROUTING 1 -s 10.88.4.20/32 -o ens3 -j SNAT --to-source 198.51.100.77
iptables -t nat -I POSTROUTING 1 -s 10.88.4.21/32 -o ens3 -j SNAT --to-source 198.51.100.78

Déi zwou Reegelen uewe entspriechen all enger interner Adress, limitéieren d’Entspriechung op den Egress-Interface a setzen d’Quell explizit. Setzt an amplaz derbäizesetzen: op der Positioun 1 ginn se virun der Masquerade-Linn evaluéiert. D’Rei tëscht deenen zwou ass egal, well hir Quelle sech ënnerscheeden. Ersetzt ens3 duerch dat, wat de route-Befehl gemellt huet, a haalt aner Firewall-Manager vun deene selwechte Hooks fort, well zwee Geschier déi eng Tabell schreiwen ass de gewéinleche Grond firwat eng korrekt Reegel keng Wierkung huet.

Beweist d’Quell mat engem neie Floss

Stateful NAT bënnt eng Iwwersetzung wann e Floss ufänkt a benotzt se fir spéider Päck erëm, dofir behält eng Sessioun déi virun der Ännerung opgemaach gouf hir al Quell no der Ännerung. Nëmmen eng nei ugefaang Verbindung beweist d’Reegel.

conntrack -L -s 10.88.4.20 -p tcp --dport 443

Liest d’Äntwertrichtung vun deem Antrag: seng Destinatioun ass d’Adress déi de wäiten Ennpunkt als Quell gesäit. Vergläicht se mat der ëffentlecher Adress déi Dir geduecht hutt, a behandelt en Antrag mat der aler Adress als Beweis fir e Floss dee ze fréi ugefaang huet, net fir eng futti Reegel. Frot de Client eng nei Verbindung opzemaachen, a widderhëlt dann d’Ufro. D’ganz Tracking-Tabell ze läschen fir den Test ze forcéieren ënnerbriecht all aner Sessioun um Gateway.

Iwwersetzung wielt nach ëmmer net d’Route, léisst de Floss net duerch de Filter an publizéiert keen agehende Service. Eng falsch Route an eng feelend Erlaabnes-Reeg schloe weider fehl no enger perfekter SNAT-Reegel. Kontrolléiert och IPv6 an all sekundären Egress-Wee, a notéiert dann d’intern-zu-ëffentlech Pueren an der Dokumentatioun vun der Firewall, sou datt déi nächst Ännerung vum Mapping aus geet an net vum Reegeltext.