Żewġ klijenti VPN, żewġ indirizzi pubbliċi: agħmel SNAT jaqbel

Żewġ klijenti VPN jistgħu joħorġu permezz ta' żewġ indirizzi IPv4 pubbliċi differenti, u r-regola li tagħmel dan hija iqsar milli jistennew il-biċċa l-kbira. Li tagħmilha taħdem mhix is-sintassi tal-iptables imma l-istat tal-pakkett meta jasal fil-katina tal-ħruġ: l-indirizz tas-sors hemmhekk għadu jrid jiddistingwi l-klijenti. Jekk masquerade preċedenti diġà għaqqad it-tnejn fuq indirizz wieħed, ebda regola għal kull klijent ma tista' terġa' ġġib id-distinzjoni. Iddeċiedi dik il-kwistjoni l-ewwel, imbagħad ikteb it-traduzzjoni.

Liema identità tibqa' ħajja sal-gateway

Ir-regola taqbel mal-indirizz tas-sors tal-pakkett, mhux ma' isem tal-utent VPN u lanqas ma' isem li turi applikazzjoni tal-klijent. Kull ma jittraduċi l-pakkett qabel fit-triq jiddetermina x'għadha tista' tara r-regola tiegħek. Mexxi t-tabella nat fl-ordni u sib il-punt fejn is-sors għadu għal kull klijent.

iptables -t nat -S POSTROUTING

Aqra dik il-lista mill-bidu. Regola masquerade qrib il-bidu terġa' tikteb is-sors għal kull fluss li jaqbel, u d-dħuliet għal kull klijent li jitqiegħdu warajha jaqblu ma' indirizz li m'għadux jeżisti. Meta żewġ apparati LAN jaqsmu mina waħda u jaslu bħala indirizz intern wieħed, id-disinn irid jinbidel qabel ma tagħmel dan il-firewall: żomm il-meded tas-sors tagħhom separati jew agħti lil kull wieħed l-indirizz intern tiegħu.

Orbot l-assenjazzjoni tal-indirizz intern mal-klijent awtentikat. Li tagħti dak l-indirizz lil apparat ieħor tgħaddi magħha l-politika tal-ħruġ, u t-traduzzjoni tas-sors waħedha mhix prova tal-identità.

It-traduzzjoni ma tistax tivvinta indirizz

Kull indirizz pubbliku irid jiġi assenjat jew indirizzat lejn dan il-punt tal-ħruġ, u t-tweġibiet iridu jsibu triqthom lura lejh. Regola li tibgħat traffiku minn indirizz li ħadd ma jindirizza lura lejh tintefa' fit-tarf 'il bogħod jew tiġi mwieġba lil host li qatt ma talabha. Istanza ta' fornitur tal-cloud normalment ikollha l-indirizz pubbliku tagħha tradott f'indirizz ta' interface privat qabel ma joħroġ il-pakkett, għalhekk is-sors tas-SNAT irid ikun l-indirizz li l-fornitur se jaċċetta, mhux il-valur li turi l-console. Aqra l-mudell tal-indirizzi tal-fornitur u segwih minflok ma tikkopja l-valur pubbliku f'kull pakkett.

Fil-prattika dan ifisser li tivverifika l-prefiss indirizzat fil-console tal-fornitur qabel ma tmiss il-firewall, u li tuża l-indirizz tal-interface privat bħala s-sors tat-traduzzjoni meta l-mappatura tkun waħda għal waħda. L-indirizzi fl-eżempji hawn taħt ġejjin mill-meded tad-dokumentazzjoni, għalhekk l-ewwel ħaġa li trid tiġi sostitwita hija t-test tal-indirizz stess.

Daħħal qabel il-masquerade ġeneriku

Ikkonferma l-interface tal-ħruġ u l-katina attwali qabel ma żżid xejn. L-ewwel waħda tiddetermina liema pakketti r-regola tista' tqabbel, u t-tieni turi x'inhu diġà wieqaf quddiemha.

ip -4 route show default
iptables -t nat -L POSTROUTING -n -v --line-numbers

L-ewwel kmand isemmi l-interface li minnha pakkett lejn l-internet fil-fatt joħroġ. It-tieni jistampa l-katina bin-numri tal-linji. Id-dħul masquerade ġeneriku hija l-linja li trid tibqa' fuqha.

iptables -t nat -I POSTROUTING 1 -s 10.88.4.20/32 -o ens3 -j SNAT --to-source 198.51.100.77
iptables -t nat -I POSTROUTING 1 -s 10.88.4.21/32 -o ens3 -j SNAT --to-source 198.51.100.78

Iż-żewġ regoli hawn fuq jaqblu ma' indirizz intern wieħed kull waħda, jillimitaw it-tqabbil għall-interface tal-ħruġ u jissettjaw is-sors b'mod espliċitu. Daħħal minflok ma żżid: fil-pożizzjoni 1 jiġu vvalutati qabel il-linja masquerade. L-ordni bejn it-tnejn mhijiex importanti għax is-sorsi tagħhom huma differenti. Sostitwixxi ens3 b'dak li rrapporta l-kmand tar-rotta, u żomm maniġers oħra tal-firewall 'il bogħod mill-istess hooks, għax żewġ għodod li jiktbu tabella waħda huwa r-raġuni tas-soltu li regola korretta ma jkollhiex effett.

Ipprova s-sors b'fluss ġdid

NAT stateful jorbot traduzzjoni meta jibda fluss u jużaha mill-ġdid għal pakketti aktar tard, għalhekk sessjoni miftuħa qabel il-bidla żżomm is-sors antik tagħha wara l-bidla. Konnessjoni mibdija mill-ġdid biss tipprova r-regola.

conntrack -L -s 10.88.4.20 -p tcp --dport 443

Aqra d-direzzjoni tat-tweġiba ta' dak id-dħul: id-destinazzjoni tiegħu hija l-indirizz li t-tarf 'il bogħod jara bħala s-sors. Qabbel ma' l-indirizz pubbliku li kellek f'moħħok, u ttratta dħul li jġorr l-indirizz antik bħala prova ta' fluss li beda kmieni wisq, mhux ta' regola miksura. Itlob lill-klijent jiftaħ konnessjoni ġdida, imbagħad erġa' għamel il-mistoqsija. L-ikklerjar tat-tabella kollha tal-traċċar biex jiġi sfurzat it-test jinterrompi kull sessjoni oħra fuq il-gateway.

It-traduzzjoni għadha ma tagħżilx ir-rotta, ma tgħaddix il-fluss mill-filtru u ma tippubblikax servizz dieħel. Rotta ħażina u regola ta' permess nieqsa jkomplu jfallu wara regola SNAT perfetta. Iċċekkja wkoll IPv6 u kwalunkwe triq tal-ħruġ sekondarja, imbagħad innota l-parji intern-għal-pubbliku fid-dokumentazzjoni tal-firewall sabiex il-bidla li jmiss tibda mill-mappatura u mhux mit-test tar-regola.