Дээд VPN-ийн ард байгаа доод клиентүүд: маршрут уу, NAT уу?

Нэг гарц өөрийн төхөөрөмжүүдэд зориулж WireGuard, өөр хэн нэгний сүлжээ рүү OpenVPN клиент ажиллуулдаг. Хоёр дотоод интерфэйсийн хоорондох дамжуулалт ажилладаг бөгөөд доод дэд сүлжээ нь одоо дээд үйлчилгээний хэсэг гэж дүгнэхэд хялбар. Тийм биш. Клиентийн татсан маршрут нь гарцад хүсэлтийг хаашаа илгээхийг хэлдэг; алслагдсан сүлжээ нь хэзээ ч сонсож байгаагүй төхөөрөмжүүдэд трафикийг хэрхэн буцааж өгдөг тухай юу ч хэлдэггүй. Ганц дүрэм нэмэхээс өмнө дээд тал нь үнэхээр дэмждэг буцаах загварыг сонго.

Маршрутлалтад хүрэхээс өмнө буцаах загварыг шийд

Энэ тайлбарт доод клиентүүд 10.90.0.0/24 ашигладаг, гарцад олгосон дээд туннелийн хаяг нь 10.80.0.6, зөвшөөрөгдсөн алслагдсан нөөц нь 172.20.0.30. Энэ хэлбэрт хоёр загвар тохирно: доод эх сурвалжийг хадгалаад алслагдсан талыг түүнийг маршрутлахыг шаардах, эсвэл эх сурвалжийг гарцын өөрийнх нь туннелийн хаяг руу хөрвүүлэх. Энэ шийдвэрийн дараах бүх зүйл механик бөгөөд шийдвэр өөрөө үйлчилгээний эзэмшигчийг шаарддаг. Дээрх нэг мөр нь алслагдсан талтай байгуулах маршрутын тохиролцоо; нөгөө нь та ганцаараа хийж болох орон нутгийн бодлогын өөрчлөлт. Энэ хоёрыг андуурч хольсноор арван минутын өөрчлөлт хэлэлцээр болж хувирдаг.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Нэг мөрийг сонгоод түүн дээр тогт. Мөрүүд нь алхам биш, хувилбар бөгөөд тэдгээрийг холих нь хянан үзэх үед хэн ч тайлбарлаж чадахгүй загвар гаргадаг.

Маршрутаар эх сурвалжийг хадгалах

Алслагдсан тал доод хаягаас хүсэлт хүлээн авдаг тул түүнд тухайн дэд сүлжээний дэмжигдсэн маршрут болон peer эзэмшил, мөн түүнийг хүлээн авах зөвшөөрөл хэрэгтэй. Эдгээр нь алслагдсан тохиргоо бөгөөд орон нутгийн ямар ч Linux маршрут тэдгээрийг үүсгэдэггүй. Тэдгээрийг тодорхой бөгөөд бичгээр, префикс болон түүнийг зөөх туннелийн peer-ийн хамт шаардаж, хариулт нь үйлчилгээ талбай хоорондын тохиргоог ерөөсөө дэмждэг эсэхээс хамаарна гэж бод.

Хариулт тийм бол орон нутгийн тохиргоо бага: дамжуулалт идэвхтэй, доод хүрээг хамарсан WireGuard peer-ийн allowed-ips, хоёр чиглэлд дамжихыг зөвшөөрсөн галт ханын бодлого.

Зориудын эх сурвалжийн хөрвүүлэлт

Хэрэв үйлчилгээ трафикийг зөвхөн холбогдсон клиентийн хаяг руу буцаадаг бол гарах замд эх сурвалжийг тэр хаяг руу хөрвүүлж, хариултад эргүүлэх conntrack төлөвийг хадгал. Дүрмийг зорьсон доод эх сурвалж, зорьсон алслагдсан очих газар, дээд интерфэйсээр хязгаарла. Бүх интерфэйсээс гарч буй бүгдийг хөрвүүлдэг дүрэм энэ шаардлагаас хамаагүй том бодлого бөгөөд дараа нь таныг гайхшруулна.

IPv6 өөрийн загвар шаарддаг; IPv4 masquerade мөрийг хуулах нь архитектур биш. Хөрвүүлсэн замыг кэшлэсэн холболт биш, шинэ холболтоор шалга.

Орон нутгийн өгөгдлийн зам мөн ажиллах ёстой

Хөрвүүлэлт нь орон нутгийн ажлыг арилгахгүй: гарцад доод очих газруудын маршрут, WireGuard peer-ийн зөв эх сурвалжийн эзэмшил, идэвхтэй дамжуулалт, интерфэйсүүдийн хооронд нарийн галт ханын бодлого зэрэг байсаар байна. Гарц дээр өөрөө үүссэн хүсэлт эдгээр зөвшөөрлийн аль нэгийг ч шалгахгүй тул гарц дээрх орон нутгийн шалгалт тэнцэж, доод төхөөрөмжүүд ялагдсаар байна.

Гарцаас биш, бодит доод төхөөрөмжөөс шалга. Эх сурвалжийн хаяг л энэ дасгалын бүх утга.

Нэг эх сурвалж гэдэг нь нэг сессийн таних тэмдэг

Алслагдсан үйлчилгээ доод төхөөрөмж бүрд тусдаа баталгаажуулалт биш, гарцын баталгаажсан сесс болон түүний хөрвүүлсэн хаягийг хардаг. Төхөөрөмж тус бүрийн зөвшөөрөл, аппликейшны таних тэмдгийг тодорхой байлгаж, хэд хэдэн төхөөрөмжийн өмнөөс ажиллах гарцыг ерөөсөө зөвшөөрдөг эсэхийг үйлчилгээний эзэмшигчтэй баталгаажуул. Хөрвүүлэлт нь төхөөрөмж тус бүрийн бүртгэлийн шаардлагыг тойрох арга биш; үйлчилгээ төхөөрөмж бүрийг бүртгүүлэхийг шаарддаг бол тэр загварыг ашигла эсвэл талбай хоорондын тохиргоог хэлэлцээрлэ.

Тэр баталгаажуулалтыг дүрмийн хажууд runbook-т бич, учир нь дараагийн хянагч загвар зөвшөөрөгдсөн үү, эсвэл зүгээр л тохиромжтой байсан уу гэж асуух болно.

Тасарсан төлөвийг тодорхойл, дараа нь гурван хүсэлтийг шалга

Дээд туннель унах үед юу болохыг шийд. Зөвшөөрөгдсөн алслагдсан трафик хориотой газарт энгийн WAN-ы нөөц замаар чимээгүй явах ёсгүй тул дамжихыг зөвшөөрсөн галт ханын бодлого мөн хаалттайгаар бүтэлгүйтэх ёстой. Дараа нь бодит доод төхөөрөмжөөс гурван тохиолдлыг шалга: ажиллаж буй зөвшөөрөгдсөн хүсэлт, бүтэлгүйтэх хориотой хүсэлт, зөвшөөрөгдсөнийг зогсоох дээд эвдрэл.

Буцаахыг дүрэм бүрд нэг мөрөөр тэмдэглэ, ингэснээр өөрчлөлтийг зорилгыг дахин бүтээхгүйгээр цуцлах боломжтой.