Өөр NAT нэмэхээс өмнө хувийн LAN-уудын хооронд маршрутлаарай
Давхцсан хаягийн орон зай, алга болсон буцах зам эсвэл итгэмжгүй транзит нь маршрутлал, NAT, туннелийн хоорондын сонголтыг шийднэ. Галт ханыг засахын өмнө эдгээр гурвыг шалгаарай.
Хоёр дотоод галт хана, нэг хувийн транзит сегмент, мөн LAN бүрийн цөөн хост нөгөөтэйгөө ярих зөвшөөрөл хүсэх хүсэлт. Ердийн хариу үйлдэл нь VPN босгох эсвэл хоёр дахь NAT давхарга нэмэх бөгөөд хоёр хариу үйлдэл нь асуудлын үнэ цэнээс илүү өртөгтэй. Энгийн маршрутлал гурван нөхцөл биелэхэд хангалттай: хаягийн мужууд давхцахгүй, хоёр тал нөгөө LAN руу урсгалыг буцааж чадна, транзит сегмент нь өгөгдөлд хангалттай итгэмжтэй. Ямар нэг зүйлийг зохион бүтээхээс өмнө эдгээрийг шалгаарай, учир нь тус бүр нь хариултыг өөрчилдөг.
Загварыг тодорхойлдог гурван нөхцөл
Эхний нөхцөл нь хаягийн орон зай. Хэрэв хоёр LAN ижил RFC 1918 блок хэрэглэж байвал, маршрутлал тэдгээрийг ялгаж чадахгүй бөгөөд орчуулга сонголт биш, зайлшгүй болно. Хоёр дахь нь буцах зам: A-аас B руу чиглэсэн маршрут нь B мөн A-ийн LAN-д хэрхэн хүрэхийг мэдэхгүй бол ашиггүй, харин тэгш бус мэдлэг нь маршрутлагдсан загвар хариултуудыг чимээгүй хаях хамгийн түгээмэл шалтгаан юм.
Гурав дахь нь итгэл. Маршрутлал пакетуудыг зөөдөг; тэдгээрийг хамгаалдаггүй. Нэг барилгын доторх хувийн транзит сегмент нь үйлчилгээ үзүүлэгчид шилжүүлэх эсвэл хуваалцсан кампусын гол судас дайрсан холбоосоос өөр зүйл. Хэрэв сегментэд итгэхгүй бол хариулт нь хоёр галт хана хоорондын туннель бөгөөд доорх маршрутлалын төлөвлөгөө түүний дотор ч хүчинтэй.
Гурвуулаа нэг чиглэл рүү заасан үед л энгийн загвар ялна. Аль нэг нь бүтэлгүйтвэл, орчуулгаар далдлахын оронд тэр нөхцөлийг тодорхой засаарай, учир нь NAT алдааг нуудаг, шийддэггүй.
Маршрутын төлөвлөгөөг транзит сүлжээнд байгуул
Галт хана бүрт хуваалцсан сегмент дээр хаяг өгч алслагдсан LAN бүрт нэг тодорхой маршрут нэмээрэй. Одоогийн тохиргоонд өөр юу ч хөдлөх шаардлагагүй, ялангуяа интернетийн өгөгдмөл маршрут яг байгаа газартаа байх ёстой. Өгөгдмөл маршрутыг хөрш галт ханаар солих нь холбоогүй бүх очих газрыг транзитоор дамжуулах байсан бөгөөд энэ нь хүссэн өөрчлөлтөөс хамаагүй том юм. pfSense-ийн статик маршрутлалын баримт бичиг тухайн платформд ижил маршрут-плюс-гарцын загварыг тайлбарладаг бөгөөд таны бодитоор ажиллуулж буй аль ч галт хананд ижил тохиргоо байдаг.
| Firewall | Remote LAN | Next hop on the transit |
|---|---|---|
| A | 10.40.0.0/24 | 192.0.2.20 |
| B | 10.30.0.0/24 | 192.0.2.10 |
Галт хана A нь 10.30.0.0/24-д үйлчилдэг, галт хана B нь 10.40.0.0/24-д, хоёр транзит хаяг нь 192.0.2.0/24-д байна. LAN бүрийн хост өөрийн орон нутгийн галт ханыг гарц болгон хадгалдаг тул цорын ганц шинэ төлөв нь тал бүрт нэг маршрут юм. Linux-д суурилсан галт хана дээр ижил төлөвлөгөө ийм харагдана, мөн дамжуулалтыг идэвхжүүлэх ёстой, эс бөгөөс маршрут шийдэгдэж, пакет хаягдана.
sysctl -w net.ipv4.ip_forward=1 ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1 ip route get 10.40.0.15 traceroute -n 10.40.0.15
Шүүлтийг орчуулгаас тусдаа байлга
Маршрутлал ба бодлого нь өөр өөр хяналт бөгөөд ихэнх маршрутлагдсан загварууд яг хоёр дахь дээр бүтэлгүйтдэг. Пакетууд бодитоор дайрдаг оролтын хилийн дээр тодорхой эх сурвалж, очих газар, үйлчилгээг зөвшөөрч, WAN гэх мэт интерфэйсийн шошго нь нэр бөгөөд итгэлийн тухай мэдэгдэл биш гэдгийг санаарай. Хувийн урсгал зөөдөг транзит порт дээр хувийн хаяг блоклох нь өгөгдмөлөөр идэвхтэй байж болно.
Дараа нь NAT болохгүй гэж дүгнэхээс өмнө гадагш чиглэсэн орчуулгыг хараарай. Автомат гадагш чиглэсэн дүрмүүд орчуулгад хэзээ ч зориулагдаагүй урсгалыг дахин бичиж болох бөгөөд энэ нь нөгөө талд өөрийн бодлого, бүртгэлд хэрэгтэй эх хаягийг устгана. Сонгосон урсгалууд анхны хаягаа хадгалж буйг баталгаажуулж, одоо ч хэрэгтэй урсгалын хувьд интернетийн орчуулгын дүрмийг хөндөхгүй орхи.
iptables -t nat -S POSTROUTING iptables -t nat -L POSTROUTING -n -v tcpdump -ni eth1 -c 5 host 10.40.0.15
NAT шударга хариулт болох үед
Хаягийн мужууд үнэхээр давхцаж, дахин дугаарлалт боломжгүй үед, эсвэл бодлого нэг талд дэд сүлжээний оронд нэг хаяг харахыг шаардсан үед орчуулга байр сууриа олдог. Ийм тохиолдолд санаатай нэг-нэг эсвэл портоор хязгаарласан зураглал нь үр дагавар нь мэдэгдэж буй загварын шийдвэр бөгөөд тойрч гарах арга биш.
Чанга хэлэх ёстой үр дагавар нь нөгөө тал одоо хувь хүний эх сурвалжийг харж эсвэл шүүж чадахгүй болсон явдал юм. Бүртгэлүүд орчуулж буй хаяг руу нийлж, хост тус бүрийн бодлого ажиллахаа болих бөгөөд алдаа засах нь тухайн мөчид аль дотоод хост урсгал эзэмшиж байсныг хайх ажил болно. Хэрэв эдгээрийн аль нь ч тухайн урсгалд хамаагүй бол NAT зүгээр.
Транзит өөрөө буруу таамаг болох үед
Хэрэв хуваалцсан сегмент үйлчилгээ үзүүлэгч, хуваалцсан сэлгэх нэхмэл эсвэл өөр тал урсгалыг уншиж болох аливаа замаар дайрвал зөвхөн маршрутлал бүрэн хариулт биш. Хоёр галт хана хоорондын туннель танд нууцлал, түншийн баталгаажуулалтыг өгөх бөгөөд доторх маршрутын хүснэгт нь транзит дээр бичих байсан хүснэгттэй ижил.
Үүнийг эхний хэсгийн итгэлийн асуултаас шийд, VPN илүү аюулгүй гэсэн дадлаас биш. Аль хэдийн хувийн сегмент дээрх туннель ямар ч ашиггүйгээр ашиглалтын зардал, өөр нэг эвдрэлийн горим нэмдэг бол итгэмжгүй сегмент дээрх маршрутлал нь нууцлалыг таны даахгүй энгийн байдалтай сольдог. Гурван нөхцлийн аль нь сонголтыг удирдсаныг бичиж үлдээгээрэй, дараагийн инженер дахин маргах шаардлагагүй.