Клиенти низводно зад нагорен VPN: рута или NAT?

Еден портал врти WireGuard за вашите сопствени уреди и OpenVPN клиент кон нечија друга мрежа. Препраќањето меѓу двете внатрешни интерфејси работи, и лесно е да се заклучи дека долната подмрежа сега е дел од нагорната услуга. Не е. Рутата што клиентот ја влече му кажува на вашиот портал каде да праќа барања; таа не кажува ништо за тоа како далечната мрежа враќа сообраќај кон уреди за кои никогаш не слушнала. Изберете модел на враќање што нагорната услуга навистина го поддржува пред да додадете и едно правило.

Одлучете за моделот на враќање пред да го допрете рутирањето

Во овој преглед долните клиенти користат 10.90.0.0/24, нагорната тунелска адреса доделена на порталот е 10.80.0.6, а одобрениот далечен ресурс е 172.20.0.30. Два модели одговараат на тој облик: да се зачува долниот извор и да се натера далечната страна да го рутира, или да се преведе изворот во сопствената тунелска адреса на порталот. Сѐ по оваа одлука е механичко, а самата одлука бара сопственик на услугата. Едниот ред погоре е договор за рутирање со далечната страна; другиот е локална промена на политиката што можете да ја направите сами. Токму мешањето на двете претвора десетминутна промена во преговори.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Изберете еден ред и држете се до него. Редовите се алтернативи, не чекори, и нивното мешање дава дизајн што никој не може да го објасни на преглед.

Зачувување на изворот преку рутирање

Далечната страна прима барање од долна адреса, затоа ѝ треба поддржана рута и сопственост на peer за таа подмрежа, плус овластување да го прифати. Тоа се далечни поставки, и ниту една локална Linux рута не ги создава. Побарајте ги експлицитно и писмено, со префиксот и со тунелскиот peer што ќе го носи, и очекувајте одговорот да зависи од тоа дали услугата воопшто поддржува договори од локација до локација.

Ако одговорот е да, локалната конфигурација е мала: препраќање вклучено, allowed-ips на WireGuard peer што го покриваат долниот опсег, и firewall политика што го дозволува преминот во двете насоки.

Намерно преведување на изворот

Ако услугата враќа сообраќај само на адресата на поврзаниот клиент, преведете го изворот на таа адреса при излез и задржете ја conntrack состојбата што го превртува за одговорите. Ограничете го правилото на предвидените долни извори, предвидените далечни одредишта и нагорниот интерфејс. Правило што преведува сѐ што излегува од секој интерфејс е многу поголема политика од ова барање, и ќе ве изненади подоцна.

IPv6 бара свој дизајн; копирањето на IPv4 masquerade ред не е архитектура. Тестирајте ја преведената патека со нова врска, а не со кеширана.

Локалната податочна патека мора сѐ уште да работи

Преведувањето не ја отстранува локалната работа: порталот сѐ уште бара рута до долните одредишта, точна сопственост на изворот на WireGuard peer, вклучено препраќање и тесна firewall политика меѓу интерфејсите. Барање создадено на самиот портал не вежба ниту едно од тие овластувања, затоа локалните тестови на порталот поминуваат, а долните уреди сѐ уште паѓаат.

Тестирајте од вистински долен уред, а не од порталот. Изворната адреса е целата смисла на вежбата.

Еден извор значи еден идентитет на сесија

Далечната услуга ја гледа автентицираната сесија на порталот и неговата преведена адреса, а не независна автентикација за секој долен уред. Држете ги експлицитни дозволите по уред и идентитетите на апликациите, и потврдете со сопственикот на услугата дека портал што дејствува за неколку уреди воопшто е дозволен. Преведувањето не е начин да се заобиколи барањето за регистрација на секој уред; ако услугата бара секој уред да се регистрира, користете тој модел или преговарајте договор од локација до локација.

Запишете ја таа потврда во runbook до правилото, бидејќи следниот прегледувач ќе праша дали дизајнот бил одобрен или само удобен.

Дефинирајте ја исклучената состојба, потоа тестирајте три барања

Одлучете што се случува кога нагорниот тунел ќе падне. Овластениот далечен сообраќај не треба тивко да следи обичен WAN резервен пат таму каде што тоа е забрането, затоа firewall политиката што го дозволува преминот мора исто така да падне затворена. Потоа тестирајте три случаи од вистински долен уред: дозволено барање што работи, забрането барање што паѓа, и нагорен дефект што го запира дозволеното.

Запишете го враќањето во еден ред по правило, за промената да може да се поништи без реконструкција на намерата.