eth0:0 hija tikketta, mhux apparat: sewwi l-qbil SNAT

Kontatur ta' żero jfisser li r-regola ssemmi interface li ma tistax teżisti. Aqra l-apparat veru, sewwi l-qbil -o u mbagħad agħżel l-indirizz tradott b'mod deliberat.

Regola NAT li kellha tagħti lil grupp wieħed ta' klijenti VPN l-indirizz pubbliku tiegħu stess qiegħda fuq żero pakketti, filwaqt li l-istess grupp għadu joħroġ bl-sors ħażin. Ir-regola normalment ma tiżbaljax fl-indirizz; tiżbalja fl-interface. -o eth0:0 tirreferi għal apparat li ma jeżistix, għax eth0:0 hija tikketta mwaħħla ma' indirizz fuq eth0. Li tħares lejn il-kontaturi huwa l-eħfef mod kif tikkonferma dan, u t-tiswija hija iżgħar milli tissuġġerixxi l-investigazzjoni.

Iċċekkja kif il-kernel isejjaħ l-apparat

Aqra ż-żewġ veduti separatament qabel ma tibdel xejn:

ip link show
ip address show dev eth0
ip route get 203.0.113.20

Il-lista tal-links turi l-interfaces. Il-lista tal-indirizzi tista' turi t-tieni indirizz IPv4 li jġorr it-tikketta eth0:0, u l-apparat għal dak l-indirizz għadu eth0. Il-manwal tal-indirizzi ta' iproute2 jittratta t-tikketta bħala isem tal-indirizz, mhux bħala t-tieni link, u dan huwa eżattament id-distinzjoni li fuqha tinbena l-problema kollha.

L-istorja tispjega l-konfużjoni. Il- ifconfig eth0:0 tassew dehret bħala interface ġdid, u l-iscripts ta' dak iż-żmien għadhom jirreferu għal wieħed. Fuq sistema tal-lum, l-alias hija tikketta fuq indirizz, u xejn fil-passaġġ tar-routing jew tan-netfilter ma jittrattaha bħala punt ta' ħruġ separat.

Iċċekkja ma' xiex tassew qabdet ir-regola

Aqra l-kontaturi mal-lista tar-regoli minflok mill-memorja:

iptables -t nat -L POSTROUTING -v -n --line-numbers

Regola li l-kontatur tal-pakketti tagħha jibqa' fuq żero waqt li tgħaddi traffiku li jaqbel mhijiex qed tiġi vvalutata, u kundizzjoni tal-interface tal-ħruġ li ssemmi eth0:0 hija kawża komuni. L-apparat tal-ħruġ li għażlet ir-rotta huwa eth0, għalhekk kundizzjoni li tfittex isem ieħor qatt ma ssir vera, ikun liema indirizz tas-sors li għażel il-kernel.

Ibdel il-kundizzjoni għall-apparat veru u ħalli t-tikketta barra minnha. Jekk trid tiddistingwi żewġ gruppi ta' klijenti li jaqsmu dak l-apparat, iddistingwihom bil-prefiss tas-sors, mhux b'isem ta' interface li ma jistax jeżisti. Żewġ regoli b'qbil -s li ma jaqsmux huma qarrabli u testabbli; regola waħda b'apparat fittizju mhijiex la waħda la l-oħra. Agħti lil kull regola kumment li jsemmi l-grupp, għax sitt xhur minn issa l-prefiss waħdu ma jgħid lil ħadd għaliex hemm.

Iċċekkja r-rotta li għażlet l-apparat

NAT postrouting jaħdem wara li r-rotta tkun diġà għażlet interface tal-ħruġ, allura l-interface fir-regola trid tkun dik li għażlet ir-rotta. Staqsi lill-kernel direttament b' ip route get għal indirizz rappreżentattiv tal-klijent u aqra kemm l-apparat kif ukoll is-sors li jirrapporta.

Jekk it-tweġiba ssemmi eth0, il-parti tal-interface tar-regola hija deċiża. Jekk issemmi apparat ta' tunnel, il-pakkett qatt ma jasal għar-regola li qed teditja, u t-tfittxija tmur għat-tabella tar-routing u l-prijoritajiet tagħha. Regola li qatt ma taqbel għax il-pakkett ħareġ band'oħra tidher fl-output tal-kontaturi bl-istess mod bħal regola b'apparat miktub ħażin. Ikkonferma liema miż-żewġ każijiet għandek qabel ma teditja xejn, għax it-tieni jeħtieġ bidla fir-routing u mhux fil-kliem.

Agħżel is-sors tradott b'mod deliberat

Ladarba l-apparat ikun tajjeb, l-indirizz tas-sors hija deċiżjoni separata. Dan huwa biss grupp IPv4 illustrattiv u indirizz ta' eżempju:

iptables -t nat -A POSTROUTING -s 10.8.1.0/24 -o eth0 \
  -j SNAT --to-source 203.0.113.20

Li tikteb indirizz f' --to-source ma jġiegħel lil ħadd jirrutah lura lejk. Il-fornitur upstream jew is-sid tal-indirizz irid iwassal it-tweġibiet għal dak l-indirizz lil dan il-host, u l-indirizz irid ikun wieħed li inti awtorizzat tuża. Jekk mhuwiex, ir-regola taqbel u tittraduċi u t-tweġibiet xorta jmorru band'oħra.

Li tbiddel l-indirizz tas-sors mhuwiex l-istess bħal li tbiddel il-link upstream. Meta l-ħtieġa vera tkun passaġġ fiżiku differenti, il-politika tar-routing trid tagħżel dak il-passaġġ l-ewwel; imbagħad SNAT jerġa' jikteb is-sors fuq l-apparat li għażlet il-politika. Aktar tikketti fuq eth0 ma jagħtux la r-rotta u lanqas l-awtorizzazzjoni.

Ivverifika b'konnessjoni li għadek kemm ftaħt

Iftaħ konnessjoni ġdida tal-klijent minflok terġa' tuża waħda eżistenti. It-tracking tal-konnessjonijiet iżomm it-traduzzjoni li rrekordja meta beda l-fluss, hekk li sessjoni qadima tista' tibqa' tuża l-indirizz tas-sors preċedenti u tagħmel regola ġdida korretta tidher miksura. Ara l-kontatur jogħla, imbagħad osserva s-sors tradott fuq il-wire jew fit-tarf 'il bogħod.

Għal bosta gruppi li jaqsmu interface waħda, agħti lil kull wieħed qbil tas-sors espliċitu u l-indirizz tat-traduzzjoni tiegħu stess, żommhom fil-konfigurazzjoni amministrata tal-firewall u innota l-ordni li biha jiġu vvalutati. Imbagħad irreġistra dak li vverifikajt: l-apparat minn ip route get, il-kontatur li ċċaqlaq, u s-sors li ra n-naħa 'l bogħod. Dik ir-reġistrazzjoni twieġeb ir-rapport li jmiss mingħajr ma terga' ttenni l-konfużjoni tat-tikketta.

Artikli relatati