Masquerade jew routing tal-politika: traffiku LAN minn gateway VPN

It-tqegħid ta’ LAN sħiħa wara tunnel VPN hija l-parti faċli; id-deċiżjoni kif in-naħa l-bogħoda tara dawk il-klijenti mhix. Il-masquerade jikteb mill-ġdid kull sors tal-LAN fuq l-indirizz tat-tunnel tal-gateway, għalhekk in-naħa l-bogħoda twieġeb lil peer wieħed. Ir-routing tal-politika jżomm l-indirizzi oriġinali u jeħtieġ li n-naħa l-bogħoda tkun taf kif tilħaqhom. Ebda waħda mhi l-default; l-għażla ġejja minn min jippossjedi n-naħa l-bogħoda u jekk l-identità għal kull apparat hijiex importanti.

Iż-żewġ disinji jwiegħdu affarijiet differenti

Il-masquerade jnaqqas il-LAN għal host wieħed viżibbli: il-gateway. In-netwerk bogħod iwieġeb lil dak l-indirizz wieħed, u l-gateway jittraduċi r-risposti lura lejn il-klijent li beda l-fluss. Fuq in-naħa l-bogħoda mhu meħtieġ ebda rotta lejn il-prefissi privati tiegħek, u għalhekk dan id-disinn jibqa’ ħaj ma’ fornitur li jirrifjuta li jġorrhom. Il-gateway isir ukoll is-sors ta’ kull konnessjoni, għalhekk in-naħa l-bogħoda ma tistax tiddistingwi żewġ klijenti.

Ir-routing tal-politika jżomm l-indirizz ta’ kull klijent sħiħ. In-netwerk bogħod jara s-sors reali u jista’ jirreġistrah, japplika regola għal kull host jew jibgħat ir-risposta direttament lil dak l-indirizz. Din il-viżibbiltà hija l-punt kollu, u ġġib magħha obbligu: in-naħa l-bogħoda trid ikollha rotta għall-prefiss tal-LAN li terġa’ lura mit-tunnel. Ippjana dik ir-rotta qabel ma tattiva r-regola, għax it-tunnel jitla’ xorta waħda u jkunu biss ir-risposti li jonqsu.

Il-modi ta’ falliment huma differenti daqskemm huma l-wegħdiet. Regola tal-masquerade nieqsa tipproduċi pakketti li joħorġu b’sorsi privati u qatt ma jerġgħu lura. Rotta tar-ritorn nieqsa tipproduċi l-istess sintomu fir-routing tal-politika, iżda t-tiswija tappartjeni lir-router bogħod, mhux lill-gateway.

Masquerade: peer wieħed fuq in-naħa l-bogħoda

It-triq tal-masquerade għandha ordni li jgħodd. Il-forwarding irid ikun attivat qabel ma xi regola NAT tiswa xi ħaġa, it-tabella tal-filtru trid tippermetti t-tranżitu fiż-żewġ direzzjonijiet, u biss imbagħad it-traduzzjoni tapplika fuq l-interface tat-tunnel.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Il-klijenti għadhom jeħtieġu triq lejn il-gateway. Jew il-gateway huwa r-router default tagħhom, jew iġorru rotta speċifika għall-prefiss bogħod; jekk router separat jibqa’ l-default, dak ir-router jeħtieġ rotta statika għad-destinazzjonijiet tat-tunnel, inkella l-pakkett imur lejn il-hop żbaljat qabel ma l-gateway jarah.

Id-DNS huwa deċiżjoni separata. Resolver fuq in-naħa l-bogħoda jwieġeb biss jekk ir-risposta tiegħu tista’ tinġarr lura lill-klijent. Taħt il-masquerade il-mistoqsija tidher li ġejja mill-gateway, għalhekk it-triq tar-ritorn tar-resolver hija diġà sodisfatta; taħt ir-routing tal-politika r-resolver jeħtieġ l-istess rotta tar-ritorn bħal kull servizz bogħod ieħor.

Routing tal-politika: żomm is-sors, żid triq tar-ritorn

Ir-routing tal-politika jibda b’tabella u regola li tagħżilha. It-traffiku li jidħol mill-interface tal-LAN jintbagħat lejn tabella dedikata, u dik it-tabella ġġorr rotta default mit-tunnel. It-tabella prinċipali tibqa’ mhux mittiefsa, għalhekk it-traffiku li joħloq il-gateway stess jista’ jsegwi triq oħra.

ip rule add iif eth1 table vpn
ip route add default dev tun0 table vpn

Imbagħad in-naħa l-bogħoda trid tirrutta l-prefiss tal-LAN lura mit-tunnel. Dik hija konfigurazzjoni fuq ir-router bogħod, mhux fuq dan il-gateway. Il-gateway irid ukoll jaċċetta risposti li jaslu fuq interface differenti minn dik li tistenna t-tabella prinċipali; filtrazzjoni laxka tat-triq inversa (rp_filter stabbilit għal 2) hija l-aġġustament tas-soltu meta l-mod strett iwarrab dawk il-pakketti.

Meta żewġ tunnels huma attivi, ittikkja kull fluss meta jidħol u ħalli t-tikketta tagħżel it-tabella. Regola li tħares biss lejn l-interface tal-input tibgħat it-traffiku taż-żewġ tunnels lejn l-istess tabella, għalhekk it-tieni tunnel jisraq flussi mill-ewwel. Ipprova dik it-tikketta b’konnessjoni li tgħix konnessjoni mill-ġdid, għax imbagħad tidher politika mħallta.

Iddeċiedi bil-pussess u b’dak li tirreġistra n-naħa l-bogħoda

Jekk it-tunnel jispiċċa għand fornitur, uża l-masquerade. Dak l-operatur mhux se jirrutta l-meded tal-LAN privati tiegħek, u m’għandux raġuni jiddistingwi klijenti individwali wara l-gateway tiegħek. Peer wieħed viżibbli huwa l-uniku mudell li tappoġġja l-politika tiegħu, għalhekk agħtih dak u żomm it-traduzzjoni fuq tarf tiegħek. Il-fornitur jara peer wieħed, li huwa eżattament dak li tistenna l-politika tiegħu, u l-klijenti tiegħek jirtu dik l-identità waħda.

Jekk iż-żewġt iċ-ċniedaq huma tiegħek u s-servizzi bogħod jaġixxu fuq l-indirizzi tas-sors, ir-routing tal-politika jistħoqqlu r-rotta żejda tiegħu. Ir-regoli tal-firewall, l-aċċess għal kull utent u l-logs tal-awditjar imbagħad jistgħu jiddistingwu l-klijenti. Jekk in-naħa l-bogħoda jeħtieġ biss li tinġieb, il-masquerade huwa aktar sempliċi u jelimina klassi sħiħa ta’ żbalji tar-rotta tar-ritorn.

Id-disinji ibridi huma normali: routing tal-politika fin-netwerk tiegħek stess, masquerade fuq it-tarf tal-fornitur. Li jgħodd huwa li tikteb liema hop jittraduċi u liema hop jirrutta, għax regola NAT aċċidentali miżjuda għal klijent wieħed taħbi s-sors minn kull klijent fl-istess katina.

Ivverifika minn klijent wieħed, imbagħad mit-tieni klijent

Mexxi t-test fejn jibda t-traffiku. Iċċekkja r-rotta li juża l-host, ara l-pakkett jidher fuq l-interface tat-tunnel, u spezzjona conntrack għat-traduzzjoni. Dik is-sekwenza tipprova li l-pakkett ħa t-triq maħsuba, mhux li sempliċiment wasal xi mkien.

Irrepeti t-test wara konnessjoni mill-ġdid. Regola tal-masquerade li ssemmi l-interface tgħix ma’ indirizz tat-tunnel ġdid; regola li ssemmi l-indirizz qadim ma tgħixx. Imbagħad ipprova it-tieni host tal-LAN, għax disinn li jaħdem fuq magna waħda spiss jiddependi mir-rotta tal-magna stess aktar milli mill-politika tal-gateway.

Ikteb il-mudell magħżul, is-sors tradott jew preservat, u s-sid tar-rotta tar-ritorn fin-noti tal-gateway. Inkella l-persuna li jmiss li żżid klijent jew tunnel se taqta’ bl-addoċċ, u t-tbassir huwa l-mod kif setup LAN-għal-VPN jaħdem isir parzjali.