SNAT، DNAT او Masquerade: په VPN کې هر NAT قاعده څه کوي

د VPN ګېټوې د دواړو خواوو ته کاپچر وایاست او یو بهیر کولی شي څلور بېلابېل پتې وښیي۔ د سرچینې NAT بیا لیکي چې پاکټ څخه راځي داسې وایي؛ د منزل NAT بیا لیکي چې چېرته ځي۔ Masquerade درېیم لوری نه دی، هغه د سرچینې-NAT قاعده ده چې پته یې له وتونکي انټرفېس څخه اخلي نه له ثابت ارزښت۔ ووایاست چې له درېیو کوم یو واقعاً ورته اړتیا لرئ او ډېری «VPN مات دی» ټیکټونه د بېرته راستنیدو لارې په اړه پوښتنې ته راګرځي۔

هره قاعده څه بیا لیکي

د سرچینې NAT، چې معمولاً SNAT لیکل کېږي، د بهیر د سرچینې پته بدلوي کله چې هغه روټر یا ګېټوې پرېږدي۔ ترلاسه کوونکې خدمت ته ترجمه شوې پتې ته ځواب ورکوي او ژباړونکې صندوق د هغې اړیکې لپاره ساتل شوي حالت په کار اچولو بدلون بېرته اړوي۔ په Linux کې هغه حالت په conntrack کې ژوند کوي، نو ځکه conntrack -L اصلي او ځوابي جوړې څنګ په څنګ چاپوي۔

د منزل NAT، DNAT، پرځای یې منزل بدلوي۔ هغه پاکټ چې په UDP 51820 کې عامې پتې ته لېږل شوی وي کولی شي 10.8.0.2:51820 کې داخلي WireGuard سرور ته بیا ولیکل شي۔ کورنی روټر یا کلاوډ لوډ بیلنسر همداسې د VPN اورېدونکی خپروي او دا د دې په اړه څه نه وایي چې تونل وروسته څه انتقالولای شي۔

Masquerade د SNAT کورنۍ پورې اړه لري۔ قاعده هېڅ پته نه نوموي؛ هغه پته کاروي چې د پاکټ وتلو پر مهال وتونکي انټرفېس لري۔ Linux هغې ته خپله موخه ورکوي او دا په WAN انټرفېس کې معمول انتخاب دی چې پته یې له DHCP یا PPPoE څخه اخلي۔

چېرته چې نقشه ژوند کوي هغه هلته نیمګړتیا ټاکي

په هره پوله کې جوړه ثبت کړئ: د تونل مخکې، دننه او په عام انټرفېس کې۔ د تونل دننه کاپچر له باندې والا څخه په قانوني ډول توپیر لري او څوک چې دواړه پرتله کوي پرته له دې چې پوه شي ژباړه چېرته کېږي هغه به ناسم کوربه تعقیب کړي۔

بېرته راستنیدونکی ترافیک باید هغه وسیلې څخه تېر شي چې نقشه ساتي۔ که ځواب بله لار، دوهم پورته لینک، د تګلارې لار یا داسې برابرونکی ونیسي چې ستاسو شخصي حد یې هېڅکله نه وي اورېدلی، حالت لرونکې معکوسه ژباړه هېڅکله نه کېږي او پیرودونکی یو لوري ترافیک ویني۔ نور د سرچینې NAT ورزیاتول نیمګړې بېرته راستنیدو لاره کم ځله سم کوي؛ کولی شي په یو بهیر کې نښه پټه کړي او په بل هر ځای کې د پتې پر بنسټ تګلاره ماته کړي۔

بله عامه تېروتنه دا ده چې تمه وکړو تونل د لارې وړتیا جوړوي۔ هغه شخصي پیرودونکی چې پاکټونه یې انټرنیټ ته وځي اړ دی چې سمه وتلې ترتیبه ولري: منظوره لار، لېږدونکې ګېټوې او معمولاً عامې پتې ته د سرچینې ژباړه۔ یوازې کوډ کول شخصي پته د لاسرسي وړ نه کوي۔

Masquerade که ښکاره SNAT

دواړه د هغه څه له مخې پرتله کړئ چې ژمنه یې کوي۔ Masquerade د وتلو پته غوره کوي، ښکاره SNAT هغه ټینګوي۔ په هغې ګېټوې کې چې باثباته عامه پته لري، ټینګول لاګونو او د شریکانو اجازت لیستونو ته یو د وړاندوینې وړ ارزښت ورکوي۔ په متحرک WAN لینک کې ټینګه شوې SNAT پته هغه شېبه ناسمه کېږي چې اجاره بدله شي او Masquerade همدغه حالت لپاره جوړ شوی دی۔

حد د انتخاب په اندازه مهم دی۔ هغه Masquerade قاعده چې له ګېټوې وتونکي هر پاکټ سره سمون خوري، پرته له سرچینې یا منزل حد، هغه ترافیک هم ژباړي چې غوښتل یې نه لاس وهل شوی پاتې شي، نورو شخصي شبکو ته تلونکی ترافیک په ګډون۔ قاعده د پیرودونکو حد، منظوري منزل او انټرفېس پورې محدوده کړئ۔

په تګلارې پر بنسټ IPsec کې دا تر ټولو سخت چيچي۔ د strongSwan د لېږد لارښود د IP لېږد فعالول او پیرودونکو لپاره د سرچینې-NAT قاعده ورزیاتول ګام په ګام ښیي، او هماغه اسناد هغه ترافیک ایستل هم رانغاړي چې باید خپله اصلي پته وساتي۔ سرچینه هغه مخکې وژباړئ چې امنیتي تګلاره ورسره سمون وکړي، تونل کولی شي پورته راشي خو ترافیک لا هم لوېږي، ځکه پاکټ نور د خبرو اترو شوي انتخابوونکي په څېر نه ښکاري۔

همدا راز پرېکړه وکړئ چې لرې سر باید څه وویني۔ له ژباړې وروسته خدمت ګېټوې ویني نه انفرادي پیرودونکی۔ دا د بېرته راستنیدو لارښوونه ساده کوي او هم مهال لاګونه هواروي او د هر پیرودونکي اجازت لیستونه بې اغېزې کوي۔ که د پیرودونکو پتو ساتل مهم وي، د ازموینې د تېریدو لپاره د هغو پټولو پرځای لارښودل شوې بېرته راستنیدو لاره پلان کړئ۔

پر Linux ګېټوې قاعدې لوستل

هغه لیرې لاسرسي ګېټوې چې پیرودونکي یې په 10.8.0.0/24 کې دي او WAN انټرفېس یې eth0 نومېږي اړتیا لري چې لېږد فعال او داسې فلټر تګلاره ولري چې بهیر ته اجازه ورکړي، بیا کولی شي کومه NAT قاعده مرسته وکړي۔ iptables نسخه دواړه لوري په nat جدول کې ساتي:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 51820 \
  -j DNAT --to-destination 10.8.0.2:51820

nftables بڼه هماغه دوه کړکۍ د نومول شوي انټرفېس او ښکاره زنځیر سره کاروي:

nft add rule ip nat postrouting ip saddr 10.8.0.0/24 oifname "eth0" masquerade
nft add rule ip nat prerouting iifname "eth0" udp dport 51820 dnat to 10.8.0.2:51820

دواړه ټوټې فرض کوي چې فلټر زنځیر لېږل شوی بهیر له مخکې مني۔ NAT د اجازې قاعده نه ده او سمه ژباړل شوې پاکټ کولی شي یو جدول وروسته هم وغورځول شي۔ ژوندې نقشه په conntrack -L سره تایید کړئ، چې څه بار شوي په nft list ruleset یا iptables-save -t nat سره تایید کړئ، بیا د دې لپاره چې پته واقعاً بدلېږي په دواړو انټرفېسونو کې کاپچر وکړئ۔

د ناوړه قاعدې په څېر ښکارېدونکي نیمګړتیا حالتونه

د ویښتو د سنجاق ترافیک کلاسیک دی۔ هغه داخلي پیرودونکی چې د سرور عامې پتې له لارې داخلي سرور ته رسېږي اړ دی چې د ننوتلو په لار کې DNAT او د بېرته وتلو په لار کې د سرچینې ژباړه ولري، که نه سرور مستقیم پیرودونکي ته ځواب وایي او ځواب رد کېږي۔ حل د هماغه داخلي-عام حالت لپاره دوهمه، تنګه قاعده ده، نه د هر څه لپاره پراخه Masquerade قاعده۔

دوه ځله ژباړه غلې ده۔ هغه پیرودونکی چې له مخکې د آپریټر کچې NAT شاته دی ستاسو ګېټوې ته داسې پتې سره راځي چې بېرته یې لار نشئ ورکولای، نو بیا ژباړه کوئ۔ کار کوي، خو لاګونه اوس د شخصي پتې اخیستنې دوه ټوپونه لري او هر تحقیق دواړه نقشې ته اړتیا لري۔ د تګلارې پر بنسټ IPsec درېیم تاو ورزیاتوي: مخکې له تګلارې سمون ژباړه وکړئ او داسې SA ترلاسه کوئ چې پورته دی خو ترافیک نه تېرېږي، چې د NAT نه بلکې د فایر وال د خرابۍ په څېر لوستل کېږي۔

بیا هغه ازموینه ده چې تېرېږي او هغه ځای پرځای کول چې ناکامېږي۔ د NAT کمانډ په لاس چلول میکانیزم ثابتوي، کنفیګریشن نه۔ د کار پر مهال ورزیات شوې قاعده په بیا پیل یا په راتلونکې انټرفېس پېښه کې ورکېږي، او هغې انټرفېس سره تړلې Masquerade قاعده چې شمېره یې بدلېږي کولی شي لرې سر چې پته ویني هغه په چوپتیا بدله کړي۔ قاعده د هغې مالک فایر وال په کنفیګریشن کې کېږدئ او له بیا نښلیدو وروسته بیا ازموینه وکړئ۔

د قاعده ساتلو دمخه د تفتیش لیست

لومړی لوری ونوموئ: سرچینه، منزل که دواړه۔ بیا وټاکئ چې حالت څوک باید وساتي — ګېټوې، پورته روټر یا IPsec ملګری — او تایید کړئ چې د ځواب لار هماغه له لارې بېرته راځي۔ قاعده هغه پیرودونکو حد، منزل او انټرفېس پورې محدوده کړئ چې واقعاً یې په نظر کې لرئ، او له مخکې پرېکړه وکړئ چې لرې سر باید ګېټوې وویني که د پیرودونکي اصلي پته۔

له ګېټوې نه، له پیرودونکي ازموینه وکړئ۔ پر ګېټوې پخپله براوزر کولی شي د پیرودونکي ژباړې قاعده بشپړه تر پښو لاندې کړي، نو هلته چلېدونکی پاڼه د تونل په اړه هېڅ نه ثابتوي۔ له پیرودونکي سرچینه لرونکې یوه غوښتنه ولېږئ، کاونټرونه او conntrack جدول وګورئ، او که چېرته کار کوئ هلته یې یو هم ممکن وي، له تونل بیا نښلیدو او د WAN پتې بدلون وروسته یې تکرار کړئ۔