د پورتنۍ VPN شاته لاندېني کلاینټونه: لاره که NAT؟

یو ګېټوې د خپلو وسایلو لپاره WireGuard او د بل چا شبکې ته OpenVPN کلاینټ چلوي. د دوو داخلي انټرفیسونو ترمنځ لېږد کار کوي، او اسانه ده چې دې نتیجې ته ورسیږو چې لاندېنې فرعي شبکه اوس د پورتني خدمت برخه ده. داسې نه ده. هغه لاره چې کلاینټ یې راکاږي ستاسو ګېټوې ته وایي چې غوښتنې چېرته ولېږي؛ خو د دې په اړه هېڅ نه وایي چې لرې شبکه هغو وسایلو ته ترافیک څنګه بېرته لېږي چې هېڅکله یې نوم نه دی اورېدلی. له یوې قاعدې مخکې هغه د بېرته راستنېدو ماډل وټاکئ چې پورتنۍ برخه یې واقعاً ملاتړ کوي.

د لارې اچونې له لاسوهنې مخکې د بېرته راستنېدو ماډل فیصله کړئ

په دې لارښود کې لاندېني کلاینټونه 10.90.0.0/24 کاروي، ګېټوې ته ټاکل شوې پورتنۍ ټنل پته 10.80.0.6 ده، او تصویب شوې لرې سرچینه 172.20.0.30 ده. دې بڼې ته دوه ماډلونه ځای په ځای کېږي: لاندېنې سرچینه وساتئ او لرې خوا ته ووایاست چې همدا لاره ورته جوړه کړي، یا سرچینه په خپله د ګېټوې ټنل پتې وژباړئ. له دې پرېکړې وروسته هر څه میخانیکي دي، او پرېکړې ته د خدمت مالک ته اړتیا ده. پورتنۍ یوه کرښه له لرې خوا سره د لارې تړون دی؛ بله یوه سیمه ییزه د پالیسۍ بدلون دی چې تاسو یې یوازې کولی شئ. همدا دوه ګډول دي چې لس دقیقې کار په خبرو اترو بدلوي.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

یوه کرښه وټاکئ او پرې کلک شئ. کرښې بدیلونه دي، نه ګامونه، او ګډول یې داسې ډیزاین جوړوي چې په بیاکتنه کې یې هیڅوک نه شي تشریح کولی.

د لارې له لارې د سرچینې ساتنه

لرې خوا له لاندېنې پتې څخه غوښتنه ترلاسه کوي، نو دې ته د هغې فرعي شبکې لپاره ملاتړ شوې لاره او د peer ملکیت ته اړتیا ده، سربېره پردې د منلو اجازه هم. دا لرې تنظیمات دي، او هیڅ سیمه ییز Linux لاره دا نه جوړوي. په ښکاره او لیکلي ډول یې وغواړئ، د مخکښې او هغه ټنل peer سره چې به یې بوځي، او تمه وکړئ چې ځواب به په دې پورې اړه ولري چې خدمت آیا سایټ-تر-سایټ ترتیباتو ملاتړ کوي که نه.

که ځواب هو وي، سیمه ییز ترتیب کوچنی دی: لېږد فعال، د WireGuard peer هغه allowed-ips چې لاندېنې حد پوښي، او د اوروژنې پالیسي چې دواړو خواو ته تېریدو اجازه ورکوي.

قصدي د سرچینې ژباړه

که خدمت ترافیک یوازې نښلول شوې کلاینټ پتې ته بېرته لېږي، د وتلو پر مهال سرچینه هماغې پتې ته وژباړئ او هغه conntrack حالت وساتئ چې د ځوابونو لپاره یې اړوي. قاعده په نیت شوو لاندېنو سرچینو، نیت شوو لرو هدفونو او پورتنۍ انټرفیس پورې محدوده کړئ. هغه قاعده چې د هر انټرفیس هر څه وژباړي له دې غوښتنې ډېره لویه پالیسي ده، او په راتلونکي کې به مو حیران کړي.

IPv6 خپل ډیزاین ته اړتیا لري؛ د IPv4 masquerade کرښه کاپي کول معماري نه ده. ژباړل شوې لاره له نوي اړیکې سره وازموئ، نه له کاش شوې.

سیمه ییزه د معلوماتو لاره باید لا هم کار وکړي

ژباړه سیمه ییز کار نه لیرې کوي: ګېټوې لا هم لاندېنو هدفونو ته لاره، د WireGuard peer د سرچینې سم ملکیت، فعال لېږد او د انټرفیسونو ترمنځ تنګه د اوروژنې پالیسي ته اړتیا لري. هغه غوښتنه چې په خپله ګېټوې جوړېږي له دې اجازو څخه هیڅ یوه نه ازموي، له همدې کبله په ګېټوې سیمه ییزې ازموینې تېریږي خو لاندېني وسایل لا هم ناکامېږي.

له ریښتیني لاندېني وسیله وازموئ، نه له ګېټوې. د سرچینې پته د دې تمرین ټول هدف دی.

یوه سرچینه یوازې یو د غونډې هویت مانا لري

لرې خدمت د هر لاندېني وسیله لپاره جلا تصدیق نه، بلکې د ګېټوې تصدیق شوې غونډه او ژباړل شوې پته ویني. د هر وسیله اجازې او د اپلیکیشن هویتونه ښکاره وساتئ، او د خدمت له مالک سره یې تایید کړئ چې د څو وسایلو په استازیتوب کار کوونکې ګېټوې ته اصلاً اجازه ده. ژباړه د هر وسیله د ثبت غوښتنې له پامه غورځولو لار نه ده؛ که خدمت د هر وسیله ثبت غواړي، هماغه ماډل وکاروئ یا د سایټ-تر-سایټ ترتیباتو لپاره خبرې وکړئ.

هماغه تایید د قاعدې ترڅنګ په runbook کې ولیکئ، ځکه راتلونکی بیاکتونکی به وپوښتي چې ډیزاین تصویب شوی و که یوازې اسانه.

د پرېکیدو حالت تعریف کړئ، بیا درې غوښتنې وازموئ

فیصله وکړئ چې پورتنی ټنل رالوېدل شي نو څه پېښېږي. اجازه لرونکی لرې ترافیک باید هغه ځای چې منع دی په غلېدو سره عادي WAN پر شا ته ولاړ نه شي، نو هغه د اوروژنې پالیسي چې تېریدو اجازه ورکوي باید په تړلي حالت کې هم ناکامه شي. بیا له ریښتیني لاندېني وسیله درې حالتونه وازموئ: هغه اجازه شوې غوښتنه چې کار کوي، هغه منعه شوې غوښتنه چې ناکامېږي، او هغه پورتنی خرابي چې اجازه شوې غوښتنه بندوي.

د هرې قاعدې لپاره بېرته ګرځېدنه په یوه کرښه کې ولیکئ، ترڅو بدلون پرته له نیت بیا جوړولو لغوه کړل شي.