മറ്റൊരു NAT ചേർക്കുന്നതിന് മുമ്പ് സ്വകാര്യ LAN-കൾക്കിടയിൽ റൂട്ട് ചെയ്യുക

രണ്ട് ആന്തരിക ഫയർവാളുകൾ, ഒരു സ്വകാര്യ ട്രാൻസിറ്റ് സെഗ്മെന്റ്, ഓരോ LAN-ലെയും കുറച്ച് ഹോസ്റ്റുകൾ മറ്റേ LAN-ലെ ഹോസ്റ്റുകളുമായി സംസാരിക്കാൻ അനുവദിക്കണമെന്ന അഭ്യർഥന. സ്വാഭാവിക പ്രതികരണം VPN നിർത്തുകയോ രണ്ടാമത്തെ NAT പാളി ചേർക്കുകയോ ചെയ്യുകയാണ്, രണ്ട് പ്രതികരണങ്ങളും പ്രശ്നത്തിന് അർഹമായതിലും കൂടുതൽ ചെലവാക്കുന്നു. സാധാരണ റൂട്ടിംഗ് മതി മൂന്ന് വ്യവസ്ഥകൾ പാലിക്കുമ്പോൾ: വിലാസ ശ്രേണികൾ ഓവർലാപ്പ് ചെയ്യുന്നില്ല, ഇരു വശങ്ങൾക്കും മറ്റേ LAN-ലേക്ക് ട്രാഫിക് തിരികെ അയയ്ക്കാം, ട്രാൻസിറ്റ് സെഗ്മെന്റ് ഡാറ്റയ്ക്ക് ഇതിനകം മതിയായ വിശ്വസനീയമാണ്. എന്തും രൂപകൽപ്പന ചെയ്യുന്നതിന് മുമ്പ് ഈ മൂന്നും പരിശോധിക്കുക, കാരണം ഓരോന്നും ഉത്തരം മാറ്റുന്നു.

രൂപകൽപ്പന തീരുമാനിക്കുന്ന മൂന്ന് വ്യവസ്ഥകൾ

ആദ്യ വ്യവസ്ഥ വിലാസ സ്ഥലമാണ്. രണ്ട് LAN-കളും ഒരേ RFC 1918 ബ്ലോക്ക് ഉപയോഗിക്കുന്നുവെങ്കിൽ, റൂട്ടിംഗിന് അവയെ വേർതിരിക്കാനാകില്ല, വിവർത്തനം ഐച്ഛികമല്ലാതെ അനിവാര്യമാകുന്നു. രണ്ടാമത്തേത് മടങ്ങിവരവ് പാതയാണ്: A-യിൽ നിന്ന് B-യിലേക്കുള്ള റൂട്ട്, B-ക്ക് A-യുടെ LAN-ലേക്ക് എങ്ങനെ എത്താമെന്ന് അറിയില്ലെങ്കിൽ നിഷ്പ്രയോജനമാണ്, അസമമായ അറിവാണ് റൂട്ടഡ് ഡിസൈൻ നിശബ്ദമായി ഉത്തരങ്ങൾ ഉപേക്ഷിക്കുന്നതിന്റെ ഏറ്റവും സാധാരണ കാരണം.

മൂന്നാമത്തേത് വിശ്വാസമാണ്. റൂട്ടിംഗ് പാക്കറ്റുകൾ നീക്കുന്നു; അവയെ സംരക്ഷിക്കുന്നില്ല. ഒരു കെട്ടിടത്തിനുള്ളിലെ സ്വകാര്യ ട്രാൻസിറ്റ് സെഗ്മെന്റ്, ഒരു ദാതാവിന് കൈമാറുന്നതിൽ നിന്നോ പങ്കിട്ട ക്യാമ്പസ് ബാക്ക്ബോൺ കടക്കുന്ന ലിങ്കിൽ നിന്നോ വ്യത്യസ്തമാണ്. സെഗ്മെന്റ് വിശ്വസനീയമല്ലെങ്കിൽ, ഉത്തരം രണ്ട് ഫയർവാളുകൾക്കിടയിലെ ടണലാണ്, താഴെയുള്ള റൂട്ടിംഗ് പ്ലാൻ അതിനുള്ളിലും ബാധകമാണ്.

മൂന്നും ഒരേ ദിശയിലേക്ക് ചൂണ്ടുമ്പോൾ മാത്രമേ ലളിതമായ ഡിസൈൻ വിജയിക്കൂ. അവയിലൊന്ന് പരാജയപ്പെട്ടാൽ, വിവർത്തനം കൊണ്ട് മറയ്ക്കുന്നതിന് പകരം ആ വ്യവസ്ഥ തുറന്ന് തിരുത്തുക, കാരണം NAT പരാജയം മറയ്ക്കുന്നു, പരിഹരിക്കുന്നില്ല.

ട്രാൻസിറ്റ് നെറ്റ്വർക്കിൽ റൂട്ട് പ്ലാൻ നിർമ്മിക്കുക

ഓരോ ഫയർവാളിനും പങ്കിട്ട സെഗ്മെന്റിൽ ഒരു വിലാസം നൽകി ഓരോ വിദൂര LAN-നും ഒരു നിർദ്ദിഷ്ട റൂട്ട് ചേർക്കുക. നിലവിലുള്ള കോൺഫിഗറേഷനിൽ മറ്റൊന്നും നീക്കേണ്ടതില്ല, പ്രത്യേകിച്ച് ഇന്റർനെറ്റ് ഡിഫോൾട്ട് റൂട്ട് ഇപ്പോൾ ഉള്ളിടത്ത് തന്നെ നിൽക്കണം. ഡിഫോൾട്ട് റൂട്ട് പിയർ ഫയർവാൾ കൊണ്ട് മാറ്റിയാൽ ബന്ധമില്ലാത്ത എല്ലാ ലക്ഷ്യസ്ഥാനങ്ങളും ട്രാൻസിറ്റിലൂടെ പോകും, അത് ആവശ്യപ്പെട്ട മാറ്റത്തേക്കാൾ വളരെ വലുതാണ്. pfSense-ന്റെ സ്റ്റാറ്റിക് റൂട്ടിംഗ് ഡോക്യുമെന്റേഷൻ ആ പ്ലാറ്റ്ഫോമിനായി അതേ റൂട്ട്-പ്ലസ്-ഗേറ്റ്വേ മാതൃക വിവരിക്കുന്നു, നിങ്ങൾ യഥാർത്ഥത്തിൽ പ്രവർത്തിപ്പിക്കുന്ന ഏത് ഫയർവാളിലും തത്തുല്യമായ നിയന്ത്രണമുണ്ട്.

ഫയർവാൾ A 10.30.0.0/24 സേവിക്കുന്നു, ഫയർവാൾ B 10.40.0.0/24-ഉം, രണ്ട് ട്രാൻസിറ്റ് വിലാസങ്ങൾ 192.0.2.0/24-ൽ ആണ്. ഓരോ LAN ഹോസ്റ്റും അതിന്റെ പ്രാദേശിക ഫയർവാൾ ഗേറ്റ്വേയായി സൂക്ഷിക്കുന്നു, അതിനാൽ പുതിയ അവസ്ഥ ഓരോ വശത്തും ഒരു റൂട്ട് മാത്രമാണ്. Linux അധിഷ്ഠിത ഫയർവാളിൽ അതേ പ്ലാൻ ഇങ്ങനെ കാണാം, ഫോർവേഡിംഗ് പ്രവർത്തനക്ഷമമായിരിക്കണം, അല്ലാത്തപക്ഷം റൂട്ട് പരിഹരിക്കപ്പെടുമ്പോൾ പാക്കറ്റ് ഉപേക്ഷിക്കപ്പെടും.

sysctl -w net.ipv4.ip_forward=1
ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1
ip route get 10.40.0.15
traceroute -n 10.40.0.15

ഫിൽട്ടറിംഗ് വിവർത്തനത്തിൽ നിന്ന് വേർതിരിക്കുക

റൂട്ടിംഗും നയവും വ്യത്യസ്ത നിയന്ത്രണങ്ങളാണ്, രണ്ടാമത്തേതിലാണ് മിക്ക റൂട്ടഡ് ഡിസൈനുകളും യഥാർത്ഥത്തിൽ പരാജയപ്പെടുന്നത്. പാക്കറ്റുകൾ യഥാർത്ഥത്തിൽ കടക്കുന്ന ഇൻഗ്രെസ് അതിർത്തിയിൽ നിർദ്ദിഷ്ട ഉറവിടങ്ങൾ, ലക്ഷ്യസ്ഥാനങ്ങൾ, സേവനങ്ങൾ എന്നിവ അനുവദിക്കുക, WAN പോലുള്ള ഇന്റർഫേസ് ലേബൽ ഒരു പേരാണ്, വിശ്വാസത്തെക്കുറിച്ചുള്ള പ്രസ്താവനയല്ല എന്ന് ഓർക്കുക. സ്വകാര്യ ട്രാഫിക് വഹിക്കുന്ന ട്രാൻസിറ്റ് പോർട്ടിൽ സ്വകാര്യ വിലാസ ബ്ലോക്കിംഗ് ഇപ്പോഴും സ്വതവേ സജീവമായിരിക്കാം.

തുടർന്ന് NAT നടക്കുന്നില്ലെന്ന് തീരുമാനിക്കുന്നതിന് മുമ്പ് ഔട്ട്ബൗണ്ട് വിവർത്തനം നോക്കുക. യാന്ത്രിക ഔട്ട്ബൗണ്ട് നിയമങ്ങൾ വിവർത്തനത്തിന് ഉദ്ദേശിക്കാത്ത ട്രാഫിക് പുനർലേഖനം ചെയ്യാം, അത് മറുവശത്തിന് അതിന്റെ നയത്തിനും ലോഗുകൾക്കും ആവശ്യമായ ഉറവിട വിലാസങ്ങൾ നശിപ്പിക്കുന്നു. തിരഞ്ഞെടുത്ത ഫ്ലോകൾ യഥാർത്ഥ വിലാസങ്ങൾ നിലനിർത്തുന്നുവെന്ന് ഉറപ്പാക്കുക, ഇപ്പോഴും ആവശ്യമുള്ള ട്രാഫിക്കിനായി ഇന്റർനെറ്റ് വിവർത്തന നിയമങ്ങൾ അതേപടി വിടുക.

iptables -t nat -S POSTROUTING
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni eth1 -c 5 host 10.40.0.15

NAT സത്യസന്ധമായ ഉത്തരമാകുമ്പോൾ

വിലാസ ശ്രേണികൾ യഥാർത്ഥത്തിൽ ഓവർലാപ്പ് ചെയ്യുകയും പുനർനമ്പർ ചെയ്യൽ ലഭ്യമല്ലാതിരിക്കുകയും ചെയ്യുമ്പോൾ, അല്ലെങ്കിൽ ഒരു വശം സബ്നെറ്റിന് പകരം ഒരു വിലാസം കാണണമെന്ന് നയം ആവശ്യപ്പെടുമ്പോൾ വിവർത്തനം അതിന്റെ സ്ഥാനം നേടുന്നു. അത്തരം സന്ദർഭങ്ങളിൽ ബോധപൂർവമുള്ള ഒന്നിനൊന്ന് അല്ലെങ്കിൽ പോർട്ട് പരിമിതമായ മാപ്പിംഗ് അറിയപ്പെടുന്ന പ്രത്യാഘാതങ്ങളുള്ള രൂപകൽപ്പന തീരുമാനമാണ്, പണി തീർക്കാനുള്ള വഴിയല്ല.

ഉറക്കെ പറയേണ്ട പ്രത്യാഘാതം, മറുവശത്തിന് ഇനി വ്യക്തിഗത ഉറവിടങ്ങൾ കാണാനോ ഫിൽട്ടർ ചെയ്യാനോ കഴിയില്ല എന്നതാണ്. ലോഗുകൾ വിവർത്തനം ചെയ്യുന്ന വിലാസത്തിലേക്ക് ചുരുങ്ങുന്നു, ഓരോ ഹോസ്റ്റിനുമുള്ള നയം പ്രവർത്തിക്കുന്നത് നിർത്തുന്നു, പ്രശ്നപരിഹാരം ഒരു നിമിഷത്തിൽ ഏത് ആന്തരിക ഹോസ്റ്റിനാണ് ഫ്ലോ ഉണ്ടായിരുന്നതെന്ന് തേടലാകുന്നു. ചോദ്യത്തിലെ ട്രാഫിക്കിന് അവയൊന്നും പ്രധാനമല്ലെങ്കിൽ, NAT കൊള്ളാം.

ട്രാൻസിറ്റ് തന്നെ തെറ്റായ ഊഹമാകുമ്പോൾ

പങ്കിട്ട സെഗ്മെന്റ് ഒരു ദാതാവ്, പങ്കിട്ട സ്വിച്ച് ഫാബ്രിക്, അല്ലെങ്കിൽ മറ്റൊരു കക്ഷിക്ക് ട്രാഫിക് വായിക്കാനാകുന്ന ഏതെങ്കിലും പാത കടക്കുന്നുവെങ്കിൽ, റൂട്ടിംഗ് മാത്രം പൂർണ്ണമായ ഉത്തരമല്ല. രണ്ട് ഫയർവാളുകൾക്കിടയിലെ ടണൽ രഹസ്യതയും പിയർ പ്രാമാണീകരണവും നൽകുന്നു, അതിനുള്ളിലെ റൂട്ട് ടേബിൾ നിങ്ങൾ ട്രാൻസിറ്റിൽ എഴുതിയേനെ അതേ ടേബിളാണ്.

ഇത് ആദ്യ വിഭാഗത്തിലെ വിശ്വാസ ചോദ്യത്തിൽ നിന്ന് തീരുമാനിക്കുക, VPN കൂടുതൽ സുരക്ഷിതമാണെന്ന ശീലത്തിൽ നിന്നല്ല. ഇതിനകം സ്വകാര്യമായ സെഗ്മെന്റിന് മുകളിലുള്ള ടണൽ ഒരു നേട്ടവുമില്ലാതെ പ്രവർത്തന ചെലവും മറ്റൊരു പരാജയ മാർഗവും ചേർക്കുന്നു, വിശ്വസനീയമല്ലാത്ത സെഗ്മെന്റിന് മുകളിലുള്ള റൂട്ടിംഗ് നിങ്ങൾക്ക് താങ്ങാനാകാത്ത ലാളിത്യത്തിന് രഹസ്യത കൈമാറുന്നു. മൂന്ന് വ്യവസ്ഥകളിൽ ഏതാണ് തിരഞ്ഞെടുപ്പിനെ നയിച്ചതെന്ന് എഴുതിവയ്ക്കുക, അടുത്ത എൻജിനീയറിന് അത് വീണ്ടും ചർച്ച ചെയ്യേണ്ടതില്ല.