ایا باید په VPN فرعي شبکه کې د پورټ لیږد ته SNAT پلي کړئ؟

د پورټ لیږد هغه کوربه ته چې د روټر د خپل VPN کلاینټ شاته ناست دی، په داسې ډول ناکام شي چې د اور دیوال د ستونزې په څیر ښکاري، ځکه غوښتنه په روښانه توګه رسیږي۔ خدمت اړیکه ثبتوي، کلاینټ انتظار کوي، او هېڅ شی بیرته نه راځي۔ د منزل ژباړه خپله دنده وکړه؛ د بیرته راستنیدو پاکټ هغه برخه ده چې ورکه شوه۔ د روټر په سر یو غوره شوی سرچینه-NAT قاعده دا سمول کوي، او په زړه پوري برخه دا ده چې پریکړه وکړئ دا قاعده څومره تنګه کیدای شي۔

ولې ځواب بله لار اخلي

د پورټ لیږد بیا لیکي چې پاکټ چیرته ځي، هېڅکله نه چې له کومه راغی۔ د انټرنیټ کلاینټ پته د تونل په ټوله لاره کې په سرچینه ساحه کې پاتې کیږي، نو لرې خدمت یو اجنبی ویني او یوازینی هغه لاره ځواب ورکوي چې پېژني: د خپل ډیفالټ ګیټ وے له لارې۔ هغه ګیټ وے د بلې خوا VPN کنسنټریټر دی، چې کومې خپلې خوښې عامې پتې ته د بیرته تګ لاره نلري۔

د تونل انټرفیس باندې یو ثبت وګورئ او نامساوي واضحه ده: غوښتنې پاکټونه بهر، دننه هېڅ شی نه۔ د لیږد زنځیر جریان ته اجازه ورکړه او تونل یې وړونکی شو، نو غورځول هغه وخت پېښیږي چې لرې کوربه لا دمخه د بیرته تګ لاره ټاکلې وي۔

د باور وړ تنګه سرچینه قاعده

روټر هغه سرچینه جوړه کړئ چې لرې کوربه یې ځواب ورکوي۔ په دې ترتیب کې د WAN پته 203.0.113.24 ده، LAN 192.168.88.0/24 ده، د روټر د تونل پته 172.20.5.1 ده، او خدمت 172.20.5.40:8443 باندې ځواب ورکوي۔ لاندې قاعده د منزل تر ژباړې وروسته له پاکټ سره سمون لري، نو ځکه یې د عامې پتې پرځای ژباړل شوې پته نوموي۔ په هغې کې هېڅ شی د کلاینټ پتې پورې تړلی نه دی، او دا دقیقاً ټکی دی۔

iptables -t nat -A POSTROUTING -o tun0 -p tcp -d 172.20.5.40 --dport 8443 -j SNAT --to-source 172.20.5.1

په هغه کرښه کې هره سمون د دې لپاره ده چې بیا لیکل په یو تونل کې یو خدمت ته محلي وساتل شي۔ انټرفیس یا پورټ لرې کړئ او له هغې ډیر ترافیک بیا لیکئ چې ستونزه یې غواړي، او همداسې یو هدفمن سمون د بل کس لپاره معما کیږي۔

کله چې بشپړ ماسکریډ صادقانه انتخاب وي

که روټر ډیر خدمتونه ورته VPN فرعي شبکې ته لیږدوي، د هر خدمت لپاره قاعده داسې لیست کیږي چې هیڅوک یې ساتنه نه کوي۔ د تونل انټرفیس څخه وتونکي هر څه ماسک کول ساده او د وړاندوینې وړ دي، د دې بیې په بدل کې چې اصلي کلاینټ د بلې خوا هر کوربه څخه پټ شي۔ دا هغه وخت وټاکئ چې هلته لاګونه د نسبت لپاره نه کارول کیږي؛ کله چې کارول کیږي تنګه قاعده وساتئ۔

دواړه انتخابونه په جلا توګه هم ناکام شي۔ ورکه تنګه قاعده یو خدمت ماتوي؛ پراخه ماسکریډ چې ډیر څه سره سمون لري کولای شي هغه ترافیک چې لا دمخه کار کاوه په خاموشۍ بیا ولیکي، په شمول د روټر خپل بهر وتونکي اړیکې۔

د خپرولو دمخه کاونټرونه وګورئ

هغه قواعد چې هېڅکله سمون نه لري تر هغه پورې د کار کوونکو قواعدو په څیر ښکاري چې تاسو پاکټونه ونه شمئ۔ د هر کلاینټ له نښلیدو دمخه جدول د بایټ کاونټرونو سره بیا ولولئ، بیا له هغه شبکې سره ونښلئ چې LAN نه ده او بیا یې ولولئ۔ دوه لوستل هغه څه دي چې اټکل په حقیقت بدلوي۔ یوازې د دوهم له حرکت وروسته لیږد خپور کړئ۔

iptables -t nat -L POSTROUTING -v -n --line-numbers

د یوې ریښتینې اړیکې وروسته د سرچینه قاعدې باندې صفر کاونټر معنی دا ده چې سمون غلط دی، معمولاً ځکه چې منزل یا پورټ د ژباړې وروسته پاکټ سره سمون نه لري۔ که کاونټر پورته شي خو کلاینټ لا هم وخت تیروي، د بیرته تګ لاره سمه شوې او یو بل شی ځواب غورځوي، نو بیا د بلې خوا د لیږد پالیسي وګورئ۔ له LAN څخه دننه د هیرپین لاسرسی جلا ستونزه ده او خپله قاعده غواړي، نه د دې پراخه نسخه۔