NAT hairpin: għaliex il-punt tat-tarf tal-VPN ifalli minn ġewwa

Server VPN li jwieġeb minn netwerk mobbli u jfalli mis-sufan normalment mhuwiex problema taċ-ċertifikat. Il-klijent ġewwa l-LAN jitlob lir-router jittraduċi pakkett li d-destinazzjoni tiegħu hija l-indirizz pubbliku tar-router stess, li jfisser li l-pakkett irid joħroġ u jerġa' jidħol minnufih. Dan il-manuvru jissejjaħ hairpinning, u ħafna routers jew ma jimplimentawhx jew jagħmluh biss meta kaxxa tal-marka tkun attivata. Huwa s-suċċess tat-test minn barra li jagħmel il-ħaġa konfuża, għax jipprova li l-listeners u r-regola tal-forwarding huma tajbin.

Il-pakkett joħroġ u jerġa' jidħol

Segwi l-pakkett. Il-klijent jissolva l-isem pubbliku, jgħaqqad mal-indirizz pubbliku, u n-NAT tad-destinazzjoni tar-router jerġa' jikteb id-destinazzjoni lejn is-server intern. It-tweġiba tas-server hija indirizzata lejn l-indirizz LAN tal-klijent, għalhekk terġa' lura mill-interface LAN tar-router mingħajr qatt ma tgħaddi mir-regola NAT li kienet tittraduċi lura s-sors.

Issa l-klijent jirċievi pakkett minn indirizz li qatt ma bagħat xejn lejh, u jarmih. Dik l-asimetrija hija l-ħsara kollha.

RFC 4787 jiddeskrivi l-imġiba mistennija minn NAT f'dan il-każ, u l-verżjoni qasira hija li fil-prattika hija fakultattiva anki fejn hija speċifikata fit-teorija. Xi routers isejħu l-impostazzjoni NAT loopback, oħrajn isejħuha hairpin NAT jew NAT reflection, u xi wħud ma juru xejn. Router li m'għandux dan mhuwiex konfigurat ħażin; qed jagħmel il-ħaġa tas-soltu, u t-tiswija tappartjeni band'oħra. Tikkonkludix minn test lokali li falla li r-regola tal-forwarding pubblika hija ħażina.

Verifika 1: iċċekkja ż-żewġ mogħdijiet separatament

Minn barra l-LAN, qabbad bl-istess profil li kien juża utent reali u kkonferma li s-sessjoni tistabbilixxi. Minn ġewwa, qabbad mal-indirizz pubbliku bl-istess profil u niżżel l-iżball eżatt u l-ħin.

Test lokali preċiż iżomm l-isem tal-host u jissostitwixxi biss l-indirizz: curl -v --resolve vpn.example.com:443:203.0.113.10 https://vpn.example.com/ jibgħat it-talba lejn l-indirizz pubbliku filwaqt li xorta jippreżenta l-isem tas-server korrett. Dan jifred problema tas-soluzzjoni tal-ismijiet minn problema tat-traduzzjoni, li huma faċli li jiġu konfużi meta l-istess isem jaħdem minn kafetterija. Innota jekk il-klijent ifallix fil-konnessjoni TCP jew aktar tard fit-TLS, għax l-ewwel tindika t-traduzzjoni u t-tieni l-identità.

Verifika 2: aqra x'jara s-server

L-aktar osservazzjoni utli hija l-fehma tas-server. Ħaddem qabda fuq il-host tal-VPN iffiltata għall-indirizz LAN tal-klijent u għall-indirizz LAN tar-router, imbagħad erġa' għamel il-prova lokali. Jekk ma jasal xejn, il-pakkett ma ssopravvix it-traduzzjoni.

Jekk konnessjoni tasal mill-indirizz LAN tar-router minflok minn dak tal-klijent, qed iseħħ hairpinning u s-sors ġie miktub mill-ġdid. Din hija konfigurazzjoni li taħdem, mhux ħsara.

Verifika 3: sewwi mingħajr ma tmiss il-mogħdija ta' barra

Hemm tliet forom appoġġjati, f'ordni dejjem akbar ta' raġġ ta' impatt. L-eqreb waħda hija DNS maqsum: ippubblika rekord intern sabiex l-istess isem tas-server jiġi solvut għall-indirizz intern għall-klijenti fil-LAN, li jevita għal kollox il-mogħdija pubblika. Li jmiss hija li tattiva l-għażla dokumentata tal-loopback jew reflection tar-router, jekk ikollu waħda, u tapplikaha biss għal dan is-servizz. L-aktar wiesgħa hija regola source-NAT fuq ir-router li terġa' tikteb it-traffiku mil-LAN lejn is-server sabiex it-tweġiba terġa' lura mir-router; fuq router Linux hija regola MASQUERADE f' POSTROUTING li taqbel mal-indirizz u l-port tas-server. It-tlieta jħallu l-mogħdija esterna bla mittiefsa, u din hija l-proprjetà li trid tinżamm.

M'għandekx tespandi l-forwarding tal-ports mhux relatat biex il-mogħdija lokali tixbah lil dik esterna, u ma tmexxix is-servizz għal port ieħor biex tevita l-problema. Iż-żewġ bidliet ibiddlu x'jista' jilħaq id-dinja ta' barra biex jissewwa xi ħaġa li tara biss id-dinja ta' ġewwa.

Id-DNS maqsum għandu nassa waħda li jistħoqqlha tissemma. Is-sostituzzjoni ta' isem ta' host b'IP arbitrarja tbiddel dak li jivvalida l-klijent, għalhekk ir-rekord intern xorta jrid jaqbel mal-isem fiċ-ċertifikat.

Verifika 4: ivverifika ż-żewġ mogħdijiet wara

Erġa' għamel il-prova esterna minn barra l-LAN, erġa' għamel il-prova interna bl-istess profil, u kkonferma li l-log tas-server juri żewġ sessjonijiet ta' suċċess distinti u mhux suċċess wieħed u silenzju wieħed. Imbagħad iċċekkja li klijenti oħra xorta jilħqu l-listener u li r-rotot lejn riżorsi privati ma nbidlux.

Żomm ir-rekord qasir: liema indirizz uża kull klijent, x'ra s-server, u liema mit-tliet tiswijiet ġiet applikata. Ir-rekwiżiti tal-hairpinning ta' RFC 4787 huma r-referenza għal dak li huwa mistenni minn NAT hawn, u jispjegaw għaliex router mingħajr il-karatteristika jġib ruħu normalment. Falliment lokali li d-dinja ta' barra ma tistax tirriproduċi hija kwistjoni ta' traduzzjoni sakemm jiġi ppruvat mod ieħor, għalhekk iċċekkjaha bħala tali.