د سرور د IP له بدلون وروسته هم SNAT قاعده لا زړه نوموي

سرور نوي پتې ته لاړ، کلینټان لا هم نښلي، او هغه څه چې لېږي یې هېڅ انټرنېټ ته نه رسېږي. همدا بېلتون نښه ده: اورېدونکې ساکټ او د پورټ لېږدول د لېږدونې څخه وژغورل شول، نو تونل پورته کېږي، په داسې حال کې چې هغه سرچینه ژباړه چې پر لېږدول شوو پاکټونو پلي کېږي لا هم هغه پته نوموي چې هوسټ یې نور نه لري. د هغو بیا لیکل شوو پاکټونو ځوابونه هغې ماشین ته ځي چې نور نه شته.

نښلېدل او لېږدول په بېلو ځایونو کې ناکامېږي

جوړېدل د هغې پاینې نقطې پورې تړلي دي چې کلینټان یې له مخکې پېژني: عامه پته، د هغې مخې ته د پورټ لېږدول او دننه اورېدونکی. لېږدول شوې ترافیک د دویمې پرېکړې پورې تړلې ده چې د پاکټ له تونل ته ننوتلو وروسته کېږي، کله چې هوسټ خپله سرچینه بیا لیکي تر څو ځوابونه د بېرته تګ لار ومومي.

د پتې بدلون یوازې دویمه پرېکړه ماتوي، او له همدې امله نښه "نښلېدلی خو انټرنېټ نشته" لوستل کېږي. دا هم څرګندوي چې ولې د کلینټ په اړخ کې عادي ګڼې ګوڼې روغې ښکاري: لاس ورکول بشپړېږي، کلینټ پته اخلي، او حتی د سرور د تونل پتې ته ping هم ځواب ورکولی شي. تېرېږي ساعتونه پر کلینټ د هغې خرابۍ له امله چې بله خوا اوسېږي، نو د قاعدو جدول لومړی کتلو ځای دی.

د سمون دمخه قاعده او د هغې شمېرونکي ولولئ

د ژباړې قاعدې له شمېرونکو سره لیست کړئ او تنظیم شوې سرچینه له هغو پتو سره پرتله کړئ چې هوسټ یې واقعاً لري. هغه قاعده چې مړې پتې ته بیا لیکل شوې وي معمولاً د ننوتلو په لار کې ترافیک ښيي، ځکه پاکټونه هغې ته رسېږي او ژباړل کېږي، او د بېرته تګ په لار کې هېڅ نه.

sudo iptables -t nat -L POSTROUTING -n -v --line-numbers
ip -4 addr show

هلته اوسئ چې درې ساحې وګورئ: د سرچینې په سمون کې حوض، که قاعده یوه نوموي د وتلو انټرفېس، او هغه استثنا چې د تونل-تر-تونل ترافیک له بیا لیکلو منع کوي. هغه استثنا د سمون پر مهال په اسانۍ ورکېږي، او د هغې ورکېدل د سیالانو ترمنځ ترافیک داسې ښيي چې کار کوي، خو ځوابونه یې عجیبه لار نیسي.

که شمېرونکي پر صفر ولاړ وي، پاکټونه هیڅکله دې قاعدې ته نه رسېږي او پته اوسنی ستونزه نه ده. په زنځیر کې د مخکې سیالې قاعدې پلټنه وکړئ، دا هغه وخت پېښېږي چې یو څوک د اصلي د سمون پرځای بدیل ورزیاتوي. د قاعدو شمېرې له هغې پایلې سره پرتله کړئ چې یوه دقیقه مخکې مو یادښت کړې وه. ترتیب د ترتیباتو برخه ده، نه د ښکلا تفصیل.

سرچینه بدله کړئ، یا د نومولو څخه ډډه وکړئ

کله چې هوسټ ثابته پته ولري، قاعده په خپل ځای بدله کړئ نه دا چې بله ورزیاته کړئ. د قاعدې شمېرې له مخې بدلون هغه ترتیب ساتي چې د زنځیر پاتې برخه پرې تړلې ده.

sudo iptables -t nat -R POSTROUTING 1 -s 10.8.0.0/24 ! -d 10.8.0.0/24 -j SNAT --to-source 10.151.0.40

کله چې پته په متحرک ډول ورکول کېږي، هېڅ سرچینه مه نوموئ او کرنل ته اجازه ورکړئ چې اوسنۍ له وتلو انټرفېس څخه وټاکي. دا بڼه بل لېږدون پرته له سمون څخه تېروي، په دې بیه چې کومه پته کارول شوې وه پټه پاتې شي.

sudo iptables -t nat -R POSTROUTING 1 -s 10.8.0.0/24 ! -d 10.8.0.0/24 -o eth0 -j MASQUERADE

تایید کړئ چې IPv4 لېږدول لا هم د مدیریت شوې ترتیباتو له لارې فعال دي، بیا قاعده د وېش خپل میکانیزم سره تلپاته کړئ. یوازې په روان کرنل کې شوی بدلون د بل بیا پیل سره بېرته راځي، معمولاً د ساتنې په کړکۍ کې چې هیڅوک یې له بدلون سره نه نښلوي.

د بدلون غلط کولو دوه لارې

حوض ته د سرور د تونل پتې ته ژباړل، د هغې LAN پتې پرځای، ځوابونه مستقیم بېرته تونل ته لېږي، چېرې چې د هغه کلینټ په لور لارښوونه کېږي چې هیڅکله یې نه دي غوښتي. اړیکه داسې درېږي چې د لارښوونې کړۍ ښکاري، ځکه چې هماغه ده.

پر زړې ژباړه د دویمې ژباړې څنډل بل تېروتنه ده. لومړنۍ سمون ورکوونکې قاعده ګټي، نو زړه ننوتنه تر ړنګېدو پورې پاکټونه سمبالوي، او نوي قاعدې شمېرونکي پر صفر پاتې کېږي، خو هر څوک بدلون ته ملامت کوي. نوی څه ورزیاتولو دمخه کاپي ړنګه کړئ. بیا لیست یو ځل بل ولولئ او تایید کړئ چې له حوض سره یوازې یوه ژباړه سمون خوري.

که تونل IPv6 هم وړي، ټوله بیاکتنه پر بل سټک تکرار کړئ. پرته له ژباړې او لارښوول شوې مختاړې IPv6 ډیفالټ لار هم همداسې غلی ناکامېږي، او هېرول یې اسانه دي ځکه چې د هغې پورتنۍ ټول شیان ورته ښکاري.

داخلېدونکي خدمتونه مخالفې ژباړې ته اړتیا لري

پر VPN کلینټ یو خدمت چې باید له بهر څخه ور رسېدل ممکن وي، د منزل ژباړې ته اړتیا لري، نه د سرچینې ژباړې: عامه پورټ د ننوتلو دمخه د کلینټ د تونل پتې ته بیا لیکل کېږي. بیا د لېږدولو لار هغه څرګندې قاعدې ته اړتیا لري چې هغه ترافیک اجازه ورکړي.

sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 10.9.8.2:8080

هغه پورټ چې خپله تونل وړي هېڅکله مه ژباړئ، ځکه هغه بیا لیکنه هغه اړیکه پرې کوي چې خدمت ور رسېدونکی ساتي. د تونل پورټ په بشپړه توګه د منزل قاعدو څخه بهر وساتئ. په پای کې له دواړو خواوو تایید کړئ: پر نوې قاعده شمېرونکي، پر تونل وسیله یوه لنډه ثبت، او عامه پتې ته له تګ دمخه د تونل دننه پتې ته یوه غوښتنه.