د خصوصي LAN تر مینځ مسیر وټاکئ، مخکې له دې چې بل NAT اضافه کړئ

دوه داخلي فایر والونه، یوه خصوصي انتقالي برخه او یوه غوښتنه چې په هر LAN کې څو کوربه له بل LAN سره خبرې وکړي۔ عادي غبرګون دا دی چې یو VPN جوړ کړو یا دوهم NAT پوړ اضافه کړو، او دواړه غبرګونونه د ستونزې له ارزښت ډیر لګښت کوي۔ عادي لارښوونه کافي ده کله چې درې شرطونه پوره شي: د پتو ساحې یو له بل سره نښتي نه وي، دواړه خواوې کولای شي ترافیک بل LAN ته بیرته واستوي، او انتقالي برخه د معلوماتو لپاره دمخه کافي باوري وي۔ مخکې له دې چې څه ډیزاین کړئ، دا درې وګورئ، ځکه هر یو ځواب بدلوي۔

درې شرطونه چې ډیزاین ټاکي

لومړی شرط د پتو ساحه ده۔ که دواړه LAN یو شان RFC 1918 بلاک وکاروي، لارښوونه نشي کولای دوی سره جلا کړي او ژباړه نه اختیاري بلکې ناگزیره کیږي۔ دوهم د بیرته راستنیدو لار ده: له A څخه B ته مسیر بې ګټې دی ترڅو چې B هم ونه پوهیږي چې A LAN ته څنګه ورسیږي، او نامتوازن پوهه هغه ترټولو عام لامل دی چې د لارښوونې ډیزاین په خاموشۍ ځوابونه غورځوي۔

دریم باور دی۔ لارښوونه پاکټونه ځای په ځای کوي؛ هغه دوی نه ساتي۔ په یوه ودانی کې دننه خصوصي انتقالي برخه له یو چمتو کوونکي ته سپارلو یا هغه لینک څخه توپیر لري چې مشترک کیمپس ملا ملا ته ځي۔ که برخه باوري نه وي، ځواب د دوو فایر والونو تر مینځ تونل دی، او لاندې لارښوونې پلان د هغې په داخل کې هم پلي کیږي۔

یوازې هغه وخت چې درې واړه یوه خوا ته اشاره وکړي، ساده ډیزاین ګټي۔ که یو له هغوی ناکام شي، هغه شرط په ښکاره توګه سم کړئ نه دا چې د ژباړې سره یې پټ کړئ، ځکه NAT ناکامي پټوي، نه یې حل کوي۔

د لارښوونې پلان پر انتقالي شبکه جوړ کړئ

هر فایر وال ته په مشترک برخه کې یوه پته ورکړئ او د هر لیرې LAN لپاره یو ځانګړی مسیر اضافه کړئ۔ په موجوده تنظیماتو کې بل څه نه اړتیا ده چې وخوځیږي، او په ځانګړې توګه د انټرنیټ ډیفالټ مسیر باید سم هغه ځای پاتې شي چې دی۔ د ډیفالټ مسیر په همکار فایر وال بدلول به هر غیر اړونده منزل د انتقال له لارې واستوي، کوم چې له غوښتل شوي بدلون څخه ډیر لوی دی۔ د pfSense سټاټیک لارښوونې لاسوند د هغه پلیټفارم لپاره هماغه مسیر-او-ګیټ وی ماډل بیانوي، او مساوي کنټرول په هر هغه فایر وال کې شته چې تاسو یې واقعاً چلوئ۔

فایر وال A د 10.30.0.0/24 خدمت کوي او فایر وال B د 10.40.0.0/24، د انتقال دوه پتې په 192.0.2.0/24 کې دي۔ هر LAN کوربه خپل سیمه ایز فایر وال د ګیټ وی په توګه ساتي، نو یوازینی نوی حالت په هر اړخ کې یو مسیر دی۔ په Linux باندې ولاړ فایر وال کې هماغه پلان داسې ښکاري، او تیرول باید فعال وي، که نه مسیر حل کیږي خو پاکټ غورځول کیږي۔

sysctl -w net.ipv4.ip_forward=1
ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1
ip route get 10.40.0.15
traceroute -n 10.40.0.15

فلټرول له ژباړې جلا وساتئ

لارښوونه او پالیسي بیلابیل کنټرولونه دي، او په دوهم کې ډیری د لارښوونې ډیزاینونه واقعاً ناکام کیږي۔ هغه ځانګړي سرچینې، منزلونه او خدمتونه د ننوتلو په پوله کې اجازه کړئ چې پاکټونه یې واقعاً تیریږي، او په یاد ولرئ چې د WAN په څیر د انټرفیس لیبل نوم دی، نه د باور په اړه بیان۔ د انتقال هغه پورټ چې خصوصي ترافیک وړي کیدای شي لا هم د خصوصي پتو بندول په ډیفالټ توګه فعال ولري۔

بیا د وتلو ژباړې ته وګورئ مخکې له دې چې نتیجه وګیرئ چې NAT نه کیږي۔ اتوماتیک وتلو قواعد کولای شي هغه ترافیک بیا ولیکي چې هیڅکله د ژباړې لپاره نه و، او دا هغه سرچینې پتې له منځه وړي چې بل اړخ یې د خپلې پالیسۍ او ثبت لپاره اړتیا لري۔ ډاډ ترلاسه کړئ چې ټاکل شوي بهیرونه خپل اصلي پتې ساتي، او د انټرنیټ ژباړې قواعد د هغه ترافیک لپاره چې لا ورته اړتیا لري پرېږدئ۔

iptables -t nat -S POSTROUTING
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni eth1 -c 5 host 10.40.0.15

کله چې NAT صادق ځواب وي

ژباړه خپل ځای ترلاسه کوي کله چې د پتو ساحې واقعاً یو له بل سره نښتي وي او بیا شمیرنه شتون نه لري، یا کله چې پالیسي غواړي یو اړخ د سب شبکې پر ځای یوه پته وویني۔ په داسې حالتونو کې په قصد سره یو-ته-یو یا پورټ محدود نقشه کول د پیژندل شوو پایلو سره ډیزاین پریکړه ده، نه د کار تیرولو لار۔

هغه پایله چې په لوړه اواز ویل باید شي دا ده چې بل اړخ نور نشي کولای انفرادي سرچینې وویني یا فلټر کړي۔ ثبتونه د ژباړونکې پتې ته ورټیټیږي، د هر کوربه پالیسي کار کول بندوي، او ستونزه حلول د دې لټون کیږي چې په یوه ټاکلي وخت کې کوم داخلي کوربه یو بهیر درلود۔ که د پوښتنې ترافیک لپاره له دې څخه هیڅ مهم نه وي، NAT ښه دی۔

کله چې انتقال پخپله غلط انګیرنه وي

که مشترک برخه له یو چمتو کوونکي، مشترک سویچ ټوکر یا هر هغه لارې تیریږي چې بل اړخ کولای شي ترافیک ولولي، یوازې لارښوونه بشپړ ځواب نه دی۔ د دوو فایر والونو تر مینځ تونل تاسو ته پټتیا او د همکار تصدیق درکوي، او د هغې دننه د مسیر جدول هماغه جدول دی چې تاسو به پر انتقال لیکلی و۔

دا د لومړۍ برخې د باور پوښتنې څخه فیصله کړئ، نه د دې عادت څخه چې VPNونه ډیر خوندي دي۔ تونل پر هغه برخه چې دمخه خصوصي ده پرته له کومې ګټې عملیاتي لګښت او یو بل ناکامي حالت اضافه کوي، پداسې حال کې چې پر ناباوره برخه لارښوونه پټتیا د هغه ساده والي سره بدلوي چې تاسو یې توان نه لرئ۔ ولیکئ چې له دریو شرطونو کوم یو انتخاب هدایت کړ، او بل انجنیر به اړ نه وي چې بیا یې بحث وکړي۔