Għandek tapplika SNAT fuq il-forwarding tal-port lejn subnet VPN?

Il-forwarding ta' port lejn host li jinsab wara l-klijent VPN tar-router innifsu jfalli b'mod li jidher bħala problema tal-firewall, għax it-talba tasal b'mod ċar. Is-servizz jirreġistra konnessjoni, il-klijent jistenna, u xejn ma jerġa' lura. It-traduzzjoni tad-destinazzjoni għamlet xogħolha; il-pakkett tar-ritorn huwa l-parti li ntilfet. Regola waħda selettiva tan-NAT tas-sors fuq ir-router tissewwi dan, u l-parti interessanti hi li tiddeċiedi kemm din ir-regola tista' tkun dejqa.

Għaliex it-tweġiba tieħu triq oħra

Il-forwarding tal-port jerġa' jikteb fejn sejjer pakkett, qatt mnejn ġie. L-indirizz tal-klijent tal-internet jibqa' fil-qasam tas-sors tul it-triq kollha mit-tunnel, għalhekk is-servizz imbiegħed jara barrani u jwieġeb bl-uniku mod li jaf: permezz tal-gateway default tiegħu stess. Dak il-gateway huwa l-konċentratur VPN fuq in-naħa l-oħra, li m'għandux rotta lura lejn indirizz pubbliku arbitrarju.

Ara qabdiet fuq l-interface tat-tunnel u l-asimmetrija hija ovvja: pakketti tat-talba 'l barra, xejn 'il ġewwa. Il-katina tal-forwarding ppermettiet il-fluss u t-tunnel ġarrha, għalhekk it-twaqqigħ iseħħ wara li l-host imbiegħed ikun diġà għażel triq tar-ritorn.

Regola tas-sors dejqa biżżejjed biex tafdaha

Agħmel ir-router is-sors li l-host imbiegħed iwieġeb għalih. F'dan it-tqassim l-indirizz WAN huwa 203.0.113.24, il-LAN huwa 192.168.88.0/24, l-indirizz tat-tunnel tar-router huwa 172.20.5.1, u s-servizz iwieġeb fuq 172.20.5.40:8443. Ir-regola hawn taħt taqbel mal-pakkett wara t-traduzzjoni tad-destinazzjoni, u għalhekk issemmi l-indirizz tradott u mhux dak pubbliku. Xejn fiha ma jiddependi mill-indirizz tal-klijent, u dan huwa eżattament il-punt.

iptables -t nat -A POSTROUTING -o tun0 -p tcp -d 172.20.5.40 --dport 8443 -j SNAT --to-source 172.20.5.1

Kull qbil f'dak il-linja jeżisti biex iżomm il-kitba mill-ġdid lokali għal servizz wieħed fuq tunnel wieħed. Neħħi l-interface jew il-port u tkun qed tikteb mill-ġdid aktar traffiku milli teħtieġ il-problema, u hekk tispiċċa tiswija mmirata fi misteru għall-persuna li jmiss.

Meta maskerada mifruxa hija l-għażla onesta

Jekk ir-router jifforwards ħafna servizzi fl-istess subnet VPN, ir-regola għal kull servizz issir lista li ħadd ma jżommha. Li tixxerja kollox li joħroġ mill-interface tat-tunnel huwa aktar sempliċi u prevedibbli, bil-prezz li l-klijent oriġinali jinħaġeb minn kull host fuq in-naħa l-oħra. Agħżelha meta l-logs hemmhekk ma jintużawx għall-attribuzzjoni; żomm ir-regola dejqa meta jintużaw.

Iż-żewġ għażliet ifallu wkoll b'mod differenti. Regola dejqa nieqsa tkisser servizz wieħed; maskerada wiesgħa li taqbel ma' wisq tista' bil-kwiet tikteb mill-ġdid traffiku li kien diġà qed jaħdem, inkluż il-konnessjonijiet ħerġin tar-router innifsu.

Iċċekkja l-counters qabel tippubblika

Regoli li qatt ma jaqblu jidhru identiċi għal regoli li jaħdmu sakemm tgħodd il-pakketti. Erġa' aqra t-tabella bil-counters tal-bytes qabel ma jqabbad xi klijent, imbagħad qabbad minn network li mhuwiex il-LAN u erġa' aqraha. Żewġ qari huma dak li jibdel stima f'fatt. Ippubblika l-forwarding biss wara li t-tieni jiċċaqlaq.

iptables -t nat -L POSTROUTING -v -n --line-numbers

Counter żero fuq ir-regola tas-sors wara konnessjoni reali jfisser li l-qbil huwa żbaljat, normalment għax id-destinazzjoni jew il-port ma jaqblux mal-pakkett wara t-traduzzjoni. Jekk il-counter jogħla iżda l-klijent għadu jispiċċa f'timeout, it-triq tar-ritorn hija msewwija u xi ħaġa oħra qed twaqqa' t-tweġiba, għalhekk ħares wara lejn il-politika tal-forwarding fuq in-naħa l-oħra. L-aċċess hairpin minn ġewwa l-LAN hija problema separata u teħtieġ ir-regola tagħha stess, mhux verżjoni usa' ta' din.