د Tailscale فرعي شبکې SNAT د بندولو وروسته یو اړخیزه ترافیک

د Tailscale فرعي شبکې په راؤټر کې د سرچینې NAT بند کړئ، تونل کار ته دوام ورکوي خو د هغې له لارې تړاوونه درېږي۔ غوښتنې مقصد ته د لرې کسټمر د خپلې overlay پتې سره رسېږي، چې دا د بدلون موخه ده، او ځوابونو ته اوس هغه لاره اړینه ده چې LAN ته کله هم نه وه پکار ده چې پوه شي۔ پرته له هغې لارې پاکټونه کښېني، ځوابونه د عادي ګېټوې له لارې وځي، او نیمګړتیا د دېوال د اورې داسې ستونزه ښکاري چې هیڅ قاعده یې نه شي تشریح کولی۔ تونل روغ دی؛ د بېرته تګ برخه ورکه ده۔

SNAT څه پټول

کله چې SNAT فعال وي، راؤټر مخکې له دې چې فرعي شبکې ته ولېږي، د سرچینې پته بدلوي په خپله LAN پته، نو مقصد هغه هوسټ ته ځواب ورکوي چې ورته رسېدل ورته لا معلوم دي او بل څه ته د تنظیم اړتیا نشته۔ د هغې بندول اصلي سرچینه ساتي، او مقصد بیا د خپل تار پر ګاونډي پرځای د overlay ریښې دننه پته ویني۔ هغه پته ریښتینې او د tailnet په اوږدو کې د لارښوونې وړ ده، خو له LAN څخه د ډیفالټ ګېټوې له لارې نه شي رسېدلی۔ مستنده سویچ --snat-subnet-routes=false دی چې په خپله Linux فرعي شبکې راؤټر تطبیقېږي۔

دا د هر پاکټ ټوګل نه، بلکې دایمي ترتیبات دي، نو د بېرته تګ لاره باید د هر هغه مقصد شبکې لپاره موجوده وي چې هغه راؤټر خدمت کوي۔ همدا بدلون د چیکباکس پرځای د ځای پرځای کولو پرېکړه جوړوي۔ هر څه چې هغه راؤټر خدمت کوي، په هماغه شیبه کې دې اړتیا ته وارث کېږي۔

د بېرته تګ لاره چېرې کېدای شي

درې ځایونه معمول دي، او دوی د سمتیا پرځای په رسېدنې کې توپیر لري۔ د مقصد هوسټ کې ثابته لاره تر ټولو مستقیمه او تر ټولو لږ پراخېدونکې ده، ځکه هر وسیله خپله کاپي غواړي۔ په VPC یا د سایټ راؤټر کې د لارو جدول ټوله شبکه یوځای پوښي، او د بې طبقې ثابتو لارو وړونکی DHCP انتخاب کسټمرانو ته اتومات رسېږي خو په هغو وسایلو کې چې له پامه غورځوي، په چوپتیا ناکامېږي۔

ip route add 100.64.0.0/10 via 192.168.1.10
ip route get 100.64.0.5

هر ځای چې غوره کړئ، بل ګام د راؤټر LAN پته ده او هېڅکله د هغه tailnet پته نه ده۔ LAN هوسټ تر هغه چې دا لاره نه لري overlay ته نه شي رسېدلی، نو د overlay دننه بل ګام ګرد دی او پاکټ هېچېرې نه لېږي۔ همدا یوه تېروتنه هغه ډېری ترتیبات تشریح کوي چې سم ښکاري او بیا هم ناکامېږي، او له هغو هرې کتنې ژغورل کېږي چې یوازې د راؤټر خپل جدول لولي۔ ولیکئ چې کوم ځای مو کارولی، که نه بل کس به غلط وآزمويي۔

ناکامي د یو اړخیز ترافیک په توګه لوستل

نښه له لامل څخه اسانه پېژندل کېږي: خدمت په خپل راؤټر ځواب ورکوي او له لرې کسټمر څخه چوپ پاتې کېږي۔ په مقصد کې نیول ښيي چې غوښتنې راځي او ځوابونه ځي، چې تر هغه بریالیتوب ښکاري چې تر هغه چې ونه ګورئ چې هغه ځوابونه چېرې ځي۔ دوی ډیفالټ ګېټوې ته ځي، چې مانا دا ده چې د ننوتلو برخه کار کړی او د بېرته تګ برخه نه۔

پرځای یې په راؤټر کې ونیسئ، ځکه هغه د یوې تبادلې دواړه لوري ویني او ښيي چې ځواب کله هم راغی که نه۔ که ځواب په مقصد کې ښکاره شي خو په راؤټر کې هېڅکله نه، لاره د مقصد په خوا کې ورکه یا غلطه ده۔ که په راؤټر کې ښکاره شي او هماغله ودرېږي، ستونزه نوره مخته ده او بلې څېړنې ته اړه لري۔

sudo tcpdump -ni any host 100.64.0.5
ip route get 100.64.0.5

آیا ریښتینې پته د لارې ارزښت لري

کله چې د مقصد شبکه بیا تنظیمېدای نه شي، SNAT ساتل ساده ځواب پاتې کېږي، او بیه یې دا ده چې هر کسټمر د مقصد په لاګونو او پالیسۍ کې د راؤټر په څېر ښکاري۔ د هغې بندول هغه وخت سم دی چې یو اپلیکیشن ریښتینې سرچینې پتې ته اړتیا ولري یا شبکه پالیسي باید هغه کسټمران توپیر کړي چې یو راؤټر شریکوي۔ دواړه قانوني لاملونه دي او هیڅ یو هم وړیا نه دی۔ ګټه باید د هرې مقصد شبکې په لاره ساتلو او لاندې تشریح شوې د دېوال د اور بیاکتنې ارزښت ولري۔

د یوې کوچنې LAN لپاره دا تبادله معمولاً ګټورېږي، خو د هغو وسایلو د خپرېدو لپاره چې ثابته لاره نه شي اخيستلای، معمولاً نه۔ پرېکړه او لامل د راؤټر ترتیباتو ترڅنګ ولیکئ، ترڅو بل مدیر پوه شي چې کوم چلند قصداً دی۔ هغه ډیفالټ چې چا نه دی لیکلی، له غفلت څخه نه شي توپیرېدلی۔

دېوال اور، لاګ او دوه ګونی رول

هره قاعده چې د راؤټر LAN پتې سره سمون درلود، اوس له بلې سرچینې سره سمون لري، او په دې کې د اجازې قواعد او هر هغه لاګ ساحه شامله ده چې راؤټر یې کسټمر ثبتاوه۔ هغه قواعد د لومړي ازموینې دمخه ولولئ، نه د لومړي ناکامۍ وروسته، ځکه یوازې د راؤټر پتې ته اجازه ورکوونکې قاعده نوې سرچینه په بشپړه توګه بندوي۔ بدلون یوازې هغو کسټمرانو او پورټونو ته محدود کړئ چې اړتیا ورته لري، بیا ډاډ ترلاسه کړئ چې ټول tailnet په چوپتیا نه مني۔

sudo nft list ruleset | grep -n '100\.64'
sudo iptables-save | grep -n '100\.64'

یو نوډ چې په یو وخت کې د وتلو نوډ او د فرعي شبکې راؤټر دواړه خدمت کوي، مستنده ترکیب دی چې کېدای شي د فرعي شبکې SNAT بندېدو وروسته پورتنۍ ترافیک وغورځوي۔ د هغو رولونو جلا کول په بېلابېلو نوډونو کې دا خبرداری لېري کوي او هرې لارې او د دېوال اور پالیسۍ ته یو مالک ورکوي۔ که رولونه باید یوځای پاتې شي، دې چلند ته تمه ولرئ او مخکې له دې چې کسټمر ملامت کړئ، وآزمویئ یې۔ لاره، د سویچ ترتیبات او د رولونو وېش په یوه یادښت کې وساتئ، ځکه دوی یوځای لوستل کېږي کله چې بله اړیکه ناکامه شي۔