Klijenti downstream wara VPN upstream: rotta jew NAT?

Gateway wieħed iħaddem WireGuard għall-apparati tiegħek u klijent OpenVPN lejn in-network ta' xi ħadd ieħor. It-tmexxija bejn iż-żewġ interfaces interni taħdem, u huwa faċli li tikkonkludi li s-subnetwork downstream issa ġà huwa parti mis-servizz upstream. Mhuwiex. Rotta li jiġbed il-klijent tgħid lill-gateway tiegħek fejn għandu jibgħat it-talbiet; ma tgħid xejn dwar kif in-network remot iġib it-traffiku lura lejn apparati li qatt ma sema' bihom. Agħżel mudell ta' ritorn li l-upstream verament jappoġġja qabel ma żżid regola waħda.

Iddeċiedi l-mudell ta' ritorn qabel ma tmiss ir-rottaġġ

F'dan it-tlestija, il-klijenti downstream jużaw 10.90.0.0/24, l-indirizz tat-tunnel upstream assenjat lill-gateway huwa 10.80.0.6, u r-riżors remot approvat huwa 172.20.0.30. Żewġ mudelli jaqblu ma' din il-forma: ippreserva s-sors downstream u ġġiegħel in-naħa l-bogħida tirrotah, jew ittraduċi s-sors fl-indirizz tat-tunnel tal-gateway stess. Kollox wara dan id-deċiżjoni huwa mekkaniku, u d-deċiżjoni nnifisha teħtieġ is-sid tas-servizz. Waħda mil-linji hawn fuq hija ftehim ta' rottaġġ man-naħa l-bogħida; l-oħra hija bidla fil-politika lokali li tista' tagħmel waħdek. Li tħallat it-tnejn huwa dak li jbiddel bidla ta' għaxar minuti f'negozjat.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Agħżel linja waħda u żomm magħha. Il-linji huma alternattivi, mhux passi, u t-taħlit tagħhom jipproduċi disinn li ħadd ma jista' jispjega fir-reviżjoni.

Preservazzjoni tas-sors bir-rottaġġ

In-naħa l-bogħida tirċievi talba minn indirizz downstream, allura teħtieġ rotta appoġġjata u proprjetà tal-peer għal dak is-subnetwork, flimkien ma' awtorizzazzjoni biex taċċettaha. Dawn huma setting remoti, u l-ebda rotta Linux lokali ma toħloqhom. Itlobhom b'mod espliċitu u bil-miktub, mal-prefiss u mal-peer tat-tunnel li se jġorrha, u stenna li t-tweġiba tiddependi minn jekk is-servizz jappoġġjax arrangamenti bejn is-siti xejn.

Jekk it-tweġiba hija iva, il-konfigurazzjoni lokali hija żgħira: tmexxija attivata, il-allowed-ips tal-peer WireGuard li jkopru l-firxa downstream, u politika tal-firewall li tippermetti l-qsim fiż-żewġ direzzjonijiet.

Traduzzjoni tas-sors b'mod deliberat

Jekk is-servizz iġib it-traffiku lura biss lejn l-indirizz tal-klijent konness, ittraduċi s-sors għal dak l-indirizz meta joħroġ u żomm l-istat conntrack li jdawru lura għat-tweġibiet. Illimita r-regola għas-sorsi downstream maħsuba, għad-destinazzjonijiet remoti maħsuba u għall-interface upstream. Regola li tittraduċi kollox li joħroġ minn kull interface hija politika ferm akbar minn din il-ħtieġa, u se tissorprendik aktar tard.

IPv6 jeħtieġ disinn tiegħu stess; l-ikkupjar ta' linja masquerade IPv4 mhuwiex arkitettura. Ipprova l-perkors tradott b'konnessjoni ġdida minflok waħda fil-cache.

Il-perkors tad-dejta lokali xorta irid jaħdem

It-traduzzjoni ma tneħħix ix-xogħol lokali: il-gateway xorta jeħtieġ rotta għad-destinazzjonijiet downstream, il-proprjetà korretta tas-sors tal-peer WireGuard, it-tmexxija attivata u politika tal-firewall dejqa bejn l-interfaces. Talba li tinħoloq fuq il-gateway innifsu ma tittestja l-ebda waħda minn dawk l-awtorizzazzjonijiet, u għalhekk it-testijiet lokali fuq il-gateway jgħaddu filwaqt li l-apparati downstream xorta jonqsu.

Ipprova minn apparat downstream reali, mhux mill-gateway. L-indirizz tas-sors huwa l-punt kollu ta' dan l-eżerċizzju.

Sors wieħed ifisser identità waħda ta' sessjoni

Is-servizz remot jara s-sessjoni awtentikata tal-gateway u l-indirizz tradott tiegħu, mhux awtentikazzjoni indipendenti għal kull apparat downstream. Żomm il-permessi għal kull apparat u l-identitajiet tal-applikazzjonijiet espliċiti, u kkonferma mas-sid tas-servizz li gateway li jaġixxi għal diversi apparati huwa permess xejn. It-traduzzjoni mhijiex mod kif tevita rekwiżit ta' reġistrazzjoni għal kull apparat; jekk is-servizz jirrikjedi li kull apparat jirreġistra, uża dak il-mudell jew innegozja arrangament bejn is-siti.

Ikteb dik il-konferma fir-runbook ħdejn ir-regola, għax ir-reviżur li jmiss se jistaqsi jekk id-disinn ġiex approvat jew kien biss komdu.

Iddefinixxi l-istat skonnettjat, imbagħad ipprova tliet talbiet

Iddeċiedi x'jiġri meta t-tunnel upstream jaqa'. It-traffiku remot awtorizzat m'għandux isegwi bil-kwiet fallback WAN ordinarju fejn dan huwa pprojbit, għalhekk il-politika tal-firewall li tippermetti l-qsim għandha wkoll tonqos magħluqa. Imbagħad ipprova tliet każijiet minn apparat downstream reali: talba permessa li taħdem, talba mhux permessa li tonqos, u falliment upstream li jwaqqaf dik permessa.

Irreġistra r-rollback f'linja waħda għal kull regola, sabiex il-bidla tista' titreġġa' lura mingħajr ma terġa' tibni l-intenzjoni.