NAT tal-LAN permezz ta' tun0 fuq gateway VPN OpenBSD

Żewġ inġiniera bl-istess gateway OpenBSD spiss jagħtuk żewġ settijiet ta' regoli differenti biex tilħaq netwerk remot, u t-tnejn jistgħu jiġu difiżi. L-għażla bejn traduzzjoni tas-sors u rotta tar-ritorn mhix affarijiet ta' sintassi xejn. Kollox jiddependi minn dak li n-naħa l-oħra diġà taf dwar 192.168.88.0/24 u minn dak li trid iżżomm fil-logs tiegħek. Jekk tiżbalja hawn, il-linja nat-to tidher perfettament korretta waqt li t-tweġibiet jisparixxu fil-gateway default remot.

Ir-routing u l-kitba mill-ġdid iwieġbu mistoqsijiet differenti

It-tabella tar-routing tiddeċiedi li 172.20.0.0/16 hija aċċessibbli permezz ta' tun0, u dik id-deċiżjoni tittieħed qabel ma tiġi kkonsultata kwalunkwe traduzzjoni pf. Imbagħad it-traduzzjoni tas-sors tbiddel il-header tal-pakkett biex it-tarf remot jara l-indirizz tat-tunnel tal-gateway minflok host tal-LAN. L-ebda mekkaniżmu ma jissostitwixxi l-ieħor: regola nat ma tistax toħloq rotta, u rotta ma tistax tikkonvinċi router remot li qatt ma sama' dwar is-subnet privata tiegħek. Meta n-naħa l-oħra ma jkollhiex passaġġ tar-ritorn, it-tweġibiet jiġu skartati jew mgħoddija lejn il-gateway default tagħha, u l-ebda aġġustament tar-regoli ma jsewwi dan.

B'mod sempliċi, il-forwarding iwieġeb fejn tmur it-traffiku u t-traduzzjoni twieġeb minn fejn tidher ġejja. Żommhom f'kaxxi mentali separati waqt li tkun qed tiddisinja s-sett tar-regoli.

Tliet kundizzjonijiet li jiddeċiedu

Staqsi tliet mistoqsijiet fl-ordni u d-disinn normalment jagħżel innifsu. In-netwerk remot għandu rotta statika li tipponta lejn l-indirizz tat-tunnel għal 192.168.88.0/24, jew l-amministratur tiegħu jikkontrolla r-routers fuq dak il-passaġġ? Jekk iva, ħalli l-indirizzi tal-LAN jivvjaġġaw bla ma jinbidlu u aqbeż it-traduzzjoni għal kollox. Għandek bżonn viżibilità għal kull klijent fuq in-naħa l-oħra, kemm għall-politika tal-aċċess kif ukoll għal traċċa tal-awditjar? Jekk iva, li tippreserva s-sors jiswa l-ħidma tar-routing. L-indirizz tat-tunnel huwa stabbli biżżejjed biex jinkiteb f'rotta remota, jew jinbidel bejn konnessjonijiet mill-ġdid?

Jekk xi tweġiba hija le jew mhux magħrufa, nat-to hija l-għażla pragmatika, u hija wkoll dik li tista' titreġġa' lura. Regola tat-traduzzjoni toħroġ f'linja waħda hekk kif in-naħa l-oħra żżid rotta xierqa. Rotta tar-ritorn li qatt ma ġiet installata tiswiek thread ta' appoġġ kull darba li xi ħadd jistaqsi għaliex it-tunnel jaħdem biss f'direzzjoni waħda.

Poġġi l-framment biex pf tassew jevalwah

Il-framment hawn taħt jassumi li l-LAN hija 192.168.88.0/24, in-netwerk remot huwa 172.20.0.0/16, u l-interface tat-tunnel hija tun0. Xejn fih ma jagħżel il-hop li jmiss. Huwa biss jerġa' jikteb is-sors fuq pakketti li diġà qed joħorġu mit-tunnel.

match out on tun0 inet from 192.168.88.0/24 to 172.20.0.0/16 nat-to (tun0)
pass in on em0 inet from 192.168.88.0/24 to any keep state

Żewġ dettalji f'dik l-ewwel linja jġorru l-parti l-kbira tal-piż. Il-parentesi madwar tun0 jgħidu lil pf biex jaqra l-indirizz tal-interface kull darba li jibni entrata tal-istat, li jgħodd meta t-tunnel jiġi nnumerat mill-ġdid wara konnessjoni mill-ġdid. Il-kelma match tfisser li r-regola terġa' tikteb u mbagħad taqa' 'l isfel, għalhekk regola pass separata xorta trid tammetti l-fluss. L-interface imsemmija fil-linja match trid ukoll tkun dik li tagħżel it-tabella tar-routing, inkella pf jevalwa r-regola fuq passaġġ tal-ħruġ differenti minn dak li l-pakkett tassew jieħu.

Tinsiex in-naħa tal-kernel. Il-forwarding tal-IPv4 irid ikun attivat, u r-regoli pass stateful għat-tunnel u l-LAN iridu jkunu jeżistu qabel ma dan kollu jkollu tifsira. Is-sezzjoni PF NAT fil-FAQ ta' OpenBSD hija r-referenza t-tajba għall-ordni tal-kliem ewlenin hawn.

Ivverifika s-sett tar-regoli qabel ma tafda t-traffiku

L-ewwel iċċekkja s-sintassi b'pfctl -nf /etc/pf.conf, li tipparsja l-fajl mingħajr ma tgħabbih. Imbagħad għabbi l-politika u aqra lura dak li l-kernel tassew iżomm, għax regola li ġiet ipparsjata nadifa xorta tista' tiġi mgħottija jew imwaħħla mal-interface ħażina. pfctl -sn tistampa r-regoli tat-traduzzjoni fil-forma mgħobbija tagħhom, u pfctl -sr tistampa r-regoli tal-filtru fl-ordni tal-evalwazzjoni.

Imbagħad ħares il-wire. Fuq il-gateway, tcpdump -ni tun0 'host 172.20.0.10' juri jekk l-indirizz tas-sors li joħroġ mit-tunnel huwiex l-indirizz tat-tunnel jew host tal-LAN. netstat -rn -f inet malajr jikkonferma l-interface li lejha tiġi riżolta d-destinazzjoni. Hekk kif it-traffiku jibda jgħaddi, pfctl -ss telenka l-entrati tal-istat; jekk fluss ma pproduċiex stat, il-pakkett qatt ma laqa' ma' regola li toħloq waħda.

Jekk in-naħa tat-tunnel tidher tajba u t-tweġibiet xorta ma jaslux, waqqaf l-editjar ta' pf. Il-falliment li jifdal jinsab fir-router remot, fejn it-tweġiba tintbagħat lejn indirizz privat li dik in-naħa ma tistax tilħaq.

Meta t-traduzzjoni tiswa aktar milli tiffranka

It-traduzzjoni taħbi l-klijenti, u kultant dan huwa eżattament il-bdil ħażin. Subnets li jikkoinċidu huma każ wieħed: jekk in-naħa l-oħra tuża wkoll 192.168.88.0/24 internament, li tippreżenta l-hosts tal-LAN bħala l-gateway tagħmel il-kolliżjoni agħar minflok aħjar. Politiki tal-IPsec li jagħżlu traffiku bil-par ta' indirizzi huma każ ieħor, għax id-database tal-politika tas-sigurtà tiġi mqabbla qabel it-traduzzjoni u qatt ma tara l-pakkett miktub mill-ġdid tiegħek. Kwalunkwe implimentazzjoni li tħarrek, tnaqqas jew tawditja lill-utent individwali wkoll titlef l-identità li teħtieġ fil-mument li s-sors jiġġarraf f'indirizz wieħed.

Id-derivattivi portabbli tal-pf huma nassa separata. Prodotti li jiġġeneraw il-fajls tar-regoli tagħhom stess jistennew li n-NAT jiġi kkonfigurat permezz tal-interface tagħhom, u l-frammenti editjati bl-idejn jerġgħu jiġu miktuba fuq l-oħra fit-tagħbija mill-ġdid li jmiss. Settijiet ta' regoli kkupjati minn gwidi miktuba qabel ma kien jeżisti l-kelma ewlenija match ma jitgħabbux fuq kernel attwali, għalhekk ittrasporta s-sintassi u aqra l-iżball minflok taħseb.

Ir-regola tad-deċiżjoni li tassew tiflaħ il-kuntatt man-netwerks tista' tkun qasira: installa rotta tar-ritorn meta tkun tista', ittraduċi meta ma tkunx tista', u notiema liema mit-tliet kundizzjonijiet ġagħluk tagħżel hekk. Dik in-nota tfaddal nofs jum lill-persuna li jmiss.