Nedstraumsklientar bak ein oppstraums-VPN: rute eller NAT?

Éin gateway køyrer WireGuard for dine eigne einingar og ein OpenVPN-klient mot nettet til nokon andre. Videresending mellom dei to indre grensesnitta verkar, og det er lett å konkludere med at nedstraums-subnettet no er ein del av oppstraumstenesta. Det er det ikkje. Ei rute klienten hentar fortel gatewayen din kvar førespurnader skal sendast; ho seier ingenting om korleis det fjerne nettet returnerer trafikk til einingar det aldri har høyrt om. Vel ein returmodell oppstraums faktisk støttar før du legg til éi einaste regel.

Avgjer returmodellen før du rører rutinga

I denne gjennomgangen brukar nedstraumsklientar 10.90.0.0/24, oppstraumstunneladressa som er tildelt gatewayen er 10.80.0.6, og den godkjende fjerne ressursen er 172.20.0.30. To modellar passar til den forma: halde på nedstraumskjelda og få den fjerne sida til å rute henne, eller omsetje kjelda til gatewayen si eiga tunneladresse. Alt etter denne avgjerda er mekanisk, og avgjerda sjølv krev eigaren av tenesta. Den eine rada over er ein ruteavtale med den fjerne sida; den andre er ei lokal policyendring du kan gjere åleine. Å blande dei to er det som gjer ei endring på ti minutt til ein forhandling.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Vel éi rad og hald deg til henne. Radene er alternativ, ikkje trinn, og å blande dei gir eit design ingen kan forklare i gjennomgangen.

Ruta kjeldebevaring

Den fjerne sida tek imot ein førespurnad frå ei nedstraumsadresse, så ho treng ei støtta rute og peer-eigarskap for det subnettet, i tillegg til autorisasjon til å godta han. Det er fjerninnstillingar, og inga lokal Linux-rute lagar dei. Be om dei eksplisitt og skriftleg, med prefikset og den tunnel-peeren som skal bere han, og vent at svaret avheng av om tenesta i det heile støttar site-til-site-ordningar.

Er svaret ja, er den lokale konfigurasjonen liten: videresending aktivert, allowed-ips for WireGuard-peeren som dekkjer nedstraumsområdet, og ein brannmurpolicy som tillèt kryssinga i båe retningar.

Medviten kjeldeomsetjing

Viss tenesta berre returnerer trafikk til den tilkopla klientadressa, omset kjelda til den adressa på veg ut og hald på conntrack-tilstanden som snur henne for svar. Avgrens regelen til dei tiltenkte nedstraumskjeldene, dei tiltenkte fjerne måla og oppstraumsgrensesnittet. Ein regel som omset alt som forlèt kvart grensesnitt, er ein mykje større policy enn dette kravet, og han vil overraske deg seinare.

IPv6 treng sitt eige design; å kopiere ei IPv4-masquerade-linje er ikkje arkitektur. Test den omsette vegen med ei ny tilkopling i staden for ei bufrete.

Den lokale databanen må framleis verke

Omsetjing tek ikkje bort det lokale arbeidet: gatewayen treng framleis ei rute til nedstraumsmål, rett WireGuard-peer-kjeldeeigarskap, aktivert videresending og ein smal brannmurpolicy mellom grensesnitta. Ein førespurnad som oppstår på gatewayen sjølv, prøver ingen av desse løyva, og difor går lokale testar på gatewayen gjennom medan nedstraumseiningar framleis feilar.

Test frå ei faktisk nedstraumseining, ikkje frå gatewayen. Kjeldeadressa er heile poenget med øvinga.

Éi kjelde tyder éin sesjonsidentitet

Fjerntenesta ser den autentiserte sesjonen til gatewayen og den omsette adressa hans, ikkje uavhengig autentisering for kvar nedstraumseining. Hald løyve per eining og applikasjonsidentitetar eksplisitte, og stadfest med eigaren av tenesta at ein gateway som handlar for fleire einingar i det heile er tillaten. Omsetjing er ikkje ein måte å omgå eit krav om påmelding per eining; viss tenesta krev at kvar eining melder seg på, bruk den modellen eller forhandle fram ei site-til-site-ordning.

Skriv den stadfestinga i runbooken ved sida av regelen, for neste gjennomgang vil spørje om designet vart godkjent eller berre var bekvemt.

Definer den fråkopla tilstanden, og test deretter tre førespurnader

Avgjer kva som skjer når oppstraumstunnelen fell. Autorisert fjern trafikk bør ikkje stille følgje ein vanleg WAN-reserveveg der det er forbode, så brannmurpolicyen som tillèt kryssinga bør òg feile lukka. Test deretter tre tilfelle frå ei ekte nedstraumseining: ein tillaten førespurnad som verkar, ein forboden førespurnad som feilar, og ein oppstraumsfeil som stoggar den tillatne.

Noter tilbakerullinga på éi linje per regel, slik at endringa kan angrast utan å byggje opp att intensjonen.