SNAT, DNAT u Masquerade: x'inhu jagħmel kull regola NAT tal-VPN

Qiegħed qabda fuq iż-żewġ naħat ta’ gateway VPN u fluss wieħed jista’ juri erba’ indirizzi differenti. In-NAT tas-sors jerġa’ jikteb minn fejn il-pakkett jgħid li ġej; in-NAT tad-destinazzjoni jerġa’ jikteb fejn sejjer. Masquerade mhuwiex it-tielet direzzjoni, hija regola tas-sors NAT li tieħu l-indirizz tagħha mill-interface tal-ħruġ minflok valur fiss. Semmi liema minn tlieta fil-fatt għandek bżonn u l-biċċa l-kbira tat-tickets „il-VPN imkisser“ jonqsu għal mistoqsija dwar it-triq lura.

X’jikteb mill-ġdid kull regola

In-NAT tas-sors, normalment miktub SNAT, ibiddel l-indirizz tas-sors ta’ fluss meta joħroġ minn router jew gateway. Is-servizz li jirċievi jwieġeb għall-indirizz tradott, u l-kaxxa li tittraduċi tħassar il-bidla bl-istat li żammet għal dik il-konnessjoni. Fuq Linux dan l-istat jgħix fil-conntrack, għalhekk conntrack -L jistampa t-tuples oriġinali u tar-risposta ħdejn xulxin.

In-NAT tad-destinazzjoni, DNAT, ibiddel id-destinazzjoni minflok. Pakkett indirizzat lil indirizz pubbliku fuq UDP 51820 jista’ jerġa’ jinkiteb lejn server WireGuard intern f’10.8.0.2:51820. Hekk router tad-dar jew bilanċjatur tal-cloud jippubblika semmiegħ tal-VPN, u dan ma jgħid xejn dwar x’jista’ jġorr il-mina wara.

Masquerade jappartjeni għall-familja SNAT. Ir-regola ma ssemmi l-ebda indirizz; tuża dak li għandha l-interface tal-ħruġ meta l-pakkett joħroġ. Linux jagħtiha mira tagħha stess, u hija l-għażla tas-soltu fuq interface WAN li tieħu l-indirizz tagħha mid-DHCP jew mill-PPPoE.

Fejn tgħix il-mapping tiddeċiedi l-falliment

Irreġistra t-tuple f’kull fruntiera: qabel il-mina, ġo fiha u fuq l-interface pubblika. Qabda ġewwa l-mina legalment tiddifferixxi minn waħda barra, u min iqabbel it-tnejn bla ma jaf fejn isseħħ it-traduzzjoni se jiġri war l-host żbaljat.

It-traffiku lura għandu jgħaddi mill-apparat li jżomm il-mapping. Jekk ir-risposta tieħu triq oħra, uplink ieħor, rotta tal-politika jew fornitur li qatt ma sama’ bil-firxa privata tiegħek, it-traduzzjoni inversa bl-istat qatt ma sseħħ u l-klijent jara traffiku f’direzzjoni waħda. Iżżid aktar NAT tas-sors rari tissewwi rotta lura nieqsa; tista’ taħbi s-sintomu fuq fluss wieħed filwaqt li tkisser il-politika bbażata fuq l-indirizzi kullimkien ieħor.

L-iżball komuni l-ieħor huwa li tistenna li l-mina toħloq idoneità għall-irouting. Klijent privat li l-pakketti tiegħu joħorġu lejn l-internet jeħtieġ arranġament tal-ħruġ validu: rotta default, gateway li jibgħat ’il quddiem u normalment traduzzjoni tas-sors lejn indirizz pubbliku. Iċ-ċifrar waħdu ma jagħmilx indirizz privat aċċessibbli.

Masquerade jew SNAT espliċitu

Qabbel it-tnejn skont dak li jwiegħdu. Masquerade jagħżel l-indirizz tal-ħruġ, SNAT espliċitu jiffissah. Fuq gateway b’indirizz pubbliku stabbli, it-tiffissir jagħti lill-logs u lill-listi tal-permessi tas-sħab valur wieħed prevedibbli. Fuq links WAN dinamiku, indirizz SNAT iffissat isir żbaljat fil-mument li jinbidel il-lease, u Masquerade inbena eżattament għal dak il-każ.

L-ambitu jgħodd daqs l-għażla. Regola Masquerade li taqbel ma’ kull pakkett li joħroġ mill-gateway, mingħajr limitu tas-sors jew tad-destinazzjoni, tittraduċi wkoll traffiku li ridt tħalli intatt, inkluż traffiku lejn netwerks privati oħra. Illimita r-regola għall-firxa tal-klijenti, id-destinazzjoni maħsuba u l-interface.

L-IPsec ibbażat fuq il-politika huwa fejn dan jigdem l-aktar. Il-gwida tal-ippeġġjar ta’ strongSwan tgħaddi mill-attivazzjoni tal-ippeġġjar tal-IP u ż-żieda ta’ regola SNAT tas-sors għall-klijenti, u l-istess dokumentazzjoni tkopri l-esklużjoni tat-traffiku li jrid iżomm l-indirizz oriġinali tiegħu. Ittraduċi sors qabel il-politika tas-sigurtà taqbel miegħu u l-mina tista’ titla’ filwaqt li t-traffiku xorta jaqa’, għax il-pakkett m’għadux jidher bħas-selettur li ġie nnegozjat.

Iddeċiedi wkoll x’għandu jara t-tarf imbiegħed. Wara t-traduzzjoni servizz jara l-gateway, mhux il-klijent individwali. Dan jissimplifika l-irouting lura u fl-istess ħin iwitti l-logs u jfixkel il-listi tal-permessi għal kull klijent. Jekk il-preservazzjoni tal-indirizzi tal-klijenti hija importanti, ippjana triq lura rroutjata minflok ma taħbihom biex tgħaddi prova.

Il-qari tar-regoli fuq gateway Linux

Gateway tal-aċċess mill-bogħod b’klijenti fuq 10.8.0.0/24 u interface WAN bl-isem eth0 jeħtieġ ippeġġjar attivat u politika tal-filtru li tippermetti l-fluss qabel ma tista’ tgħin xi regola NAT. Il-verżjoni tal-iptables iżżomm iż-żewġ direzzjonijiet fit-tabella nat:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 51820 \
  -j DNAT --to-destination 10.8.0.2:51820

Il-forma nftables tuża l-istess żewġ snien b’interface msemmija u katina espliċita:

nft add rule ip nat postrouting ip saddr 10.8.0.0/24 oifname "eth0" masquerade
nft add rule ip nat prerouting iifname "eth0" udp dport 51820 dnat to 10.8.0.2:51820

Iż-żewġ siltiet jassumu li l-katina tal-filtru diġà taċċetta l-fluss ippreġġjat. NAT mhix regola ta’ permess, u pakkett tradott b’mod korrett xorta jista’ jiġi skartat tabella oħra wara. Ikkonferma l-mapping ħaj bl-conntrack -L, ikkonferma x’inhu mgħobbi bl-nft list ruleset jew l-iptables-save -t nat, imbagħad aqbad fuq iż-żewġ interfaces biex tara l-indirizz tassew jinbidel.

Modi ta’ falliment li jidhru bħal regola ħażina

It-traffiku tal-pin tax-xagħar huwa l-klassiku. Klijent intern li jasal għal server intern permezz tal-indirizz pubbliku tas-server jeħtieġ id-DNAT fit-triq ’il ġewwa u traduzzjoni tas-sors fit-triq ’il barra lura, inkella s-server iwieġeb direttament lill-klijent u r-risposta tiġi rrifjutata. Is-sewwa hija t-tieni regola, aktar dejqa, għal dak il-każ intern-għal-pubbliku, mhux regola Masquerade usa’ għal kollox.

It-traduzzjoni doppja hija dik siekta. Klijent li diġà jinsab wara NAT tal-grad tal-operatur jasal għall-gateway tiegħek b’indirizz li ma tistax iddawwar lura, allura terġa’ tittraduċi. Taħdem, imma l-logs issa jġorru żewġ qabżiet ta’ indirizzar privat u kull investigazzjoni teħtieġ iż-żewġ mappings. L-IPsec ibbażat fuq il-politika jżid it-tielet tidwira: ittraduċi qabel ma taqbel il-politika u tikseb SA li tkun ’il fuq bla traffiku jgħaddi, li jinqara bħala bug fil-firewall u mhux fin-NAT.

Imbagħad hemm it-test li jgħaddi u l-iskjerament li jfalli. Li tmexxi l-kmand NAT bl-idejn jipprova l-mekkaniżmu, mhux il-konfigurazzjoni. Regola miżjuda waqt it-tħaddim tisparixxi fir-riavvjar jew fl-event li jmiss tal-interface, u regola Masquerade marbuta ma’ interface li jibdel in-numru tista’ bil-kwiet tbiddel l-indirizz li jara t-tarf imbiegħed. Poġġi r-regola fil-konfigurazzjoni tal-firewall li tgħix fiha u erġa’ ttestja wara l-istess konnessjoni.

Lista ta’ kontroll qabel ma tiffranka r-regola

Semmi l-ewwel id-direzzjoni: sors, destinazzjoni jew it-tnejn. Imbagħad identifika min għandu jżomm l-istat — il-gateway, ir-router ta’ fuq jew il-pari IPsec — u kkonferma li t-triq tar-risposta terga’ lura minnu. Illimita r-regola għall-firxa tal-klijenti, id-destinazzjoni u l-interface li tassew beħsiebek, u iddeċiedi minn qabel jekk it-tarf imbiegħed għandux jara l-gateway jew l-indirizz oriġinali tal-klijent.

Ittestja minn klijent, mhux mill-gateway. Browser fuq il-gateway innifsu jista’ jaqbeż għal kollox ir-regola tat-traduzzjoni tal-klijenti, allura paġna li taħdem hemm ma tipprova xejn dwar il-mina. Ibgħat talba waħda li toriġina mill-klijent, ħares lejn il-counters u t-tabella tal-conntrack, u erġa’ għamilha wara konnessjoni mill-ġdid tal-mina u bidla fl-indirizz WAN jekk waħda mit-tnejn hija possibbli fejn taħdem.