دوه VPN پیرودونکي، دوه عامه پته ګانې: SNAT سره سم کړئ

دوه VPN پیرودونکي کولی شي د دوو مختلفو عامه IPv4 پتو له لارې ووځي، او هغه قاعده چې دا کوي د ډیرو خلکو له تمې څخه لنډه ده۔ هغه څه چې دا کار کوي د iptables نحو نه دی، بلکې د کڅوړې هغه حالت دی چې کله د وتلو زنځیر ته ورسیږي: هلته د سرچینې پته لاهم باید پیرودونکي جلا کړي۔ که یو پخوانی masquerade دواړه دمخه په یوه پته کې یوځای کړي وي، هیڅ د هر پیرودونکي قاعده نشي کولی هغه توپیر بیرته راوړي۔ لومړی دا پوښتنه حل کړئ، بیا ژباړه ولیکئ۔

کوم هویت ګیټوې ته رسیدلی شي

قاعده د کڅوړې د سرچینې پتې سره سمون خوري، نه د VPN کارن نوم سره او نه هغه نوم سره چې پیرودونکي اپلیکیشن ښیي۔ هر هغه څه چې کڅوړه په لاره کې دمخه ژباړي، هغه ټاکي چې ستاسو قاعده لاهم څه لیدلی شي۔ nat جدول په ترتیب سره چل کړئ او هغه نقطه ومومئ چې سرچینه لاهم د هر پیرودونکي لپاره جلا ده۔

iptables -t nat -S POSTROUTING

هغه لیست له پاسه ولولئ۔ د پاسې نږدې masquerade قاعده د هرې سمون خورې جریان لپاره سرچینه بیا لیکي، او له هغې وروسته ایښودل شوې د هر پیرودونکي ننوتنې له هغې پتې سره سمون خوري چې نوره نشته۔ کله چې دوه LAN وسیلې یوه تونل شریکوي او د یوې داخلي پتې په توګه راځي، نو ډیزاین باید د فایر وال دمخه بدل شي: د هغوی د سرچینې حدونه جلا وساتئ یا هر یو ته خپله داخلي پته ورکړئ۔

د داخلي پتې ټاکل د تصدیق شوي پیرودونکي سره وتړئ۔ هغه پته بل وسیلې ته ورکول د وتلو پالیسي هم ورسره ورکول دي، او د سرچینې ژباړه پخپله د هویت ثبوت نه دی۔

ژباړه نشي کولی پته جوړه کړي

هره عامه پته باید دې وتلو نقطې ته وټاکل شي یا همدې ته روټ شي، او ځوابونه باید بیرته دې ته د رسیدو لاره ومومي۔ هغه قاعده چې له هغې پتې څخه ترافیک لیږي چې هیڅوک بیرته نه روټ کوي، په لرې پای کې غورځول کیږي یا هغه هوسټ ته ځواب ورکول کیږي چې هیڅکله یې نه دی غوښتی۔ د کلاوډ چمتو کوونکي انسټانس عموما خپله عامه پته د کڅوړې له وتلو دمخه شخصي انټرفیس پتې ته ژباړلې وي، نو د SNAT سرچینه باید هغه پته وي چې چمتو کوونکی به یې ومني، نه هغه ارزښت چې کنسول ښیي۔ د چمتو کوونکي د پتو ماډل ولولئ او په هره کڅوړه کې د عامه ارزښت کاپي کولو پرځای ورپسې لاړ شئ۔

په عمل کې دا پدې معنی ده چې د فایر وال د لاسولو دمخه د چمتو کوونکي په کنسول کې روټ شوی مخښکته وګورئ، او کله چې نقشه یو له یوه سره وي، شخصي انټرفیس پته د ژباړې سرچینه وکاروئ۔ په لاندې مثالونو کې کارول شوې پتې د اسنادو له حدونو څخه دي، نو لومړی هغه څه چې باید بدل شي د پتې متن پخپله دی۔

د عمومي masquerade دمخه دننه کړئ

د هرڅه د زیاتولو دمخه د وتلو انټرفیس او اوسنی زنځیر تایید کړئ۔ لومړی ټاکي چې قاعده له کومو کڅوړو سره سمون خوري، او دویم ښیي چې د هغې مخې ته دمخه څه ولاړ دي۔

ip -4 route show default
iptables -t nat -L POSTROUTING -n -v --line-numbers

لومړی حکم هغه انټرفیس نوموي چې انټرنیټ ته تلونکې کڅوړه واقعیا ترې وځي۔ دویم د کرښې شمیرو سره زنځیر چاپوي۔ عمومي masquerade ننوتنه هغه کرښه ده چې باید پورته یې پاتې شئ۔

iptables -t nat -I POSTROUTING 1 -s 10.88.4.20/32 -o ens3 -j SNAT --to-source 198.51.100.77
iptables -t nat -I POSTROUTING 1 -s 10.88.4.21/32 -o ens3 -j SNAT --to-source 198.51.100.78

پورتني دوه قاعدې هر یوه له یوې داخلي پتې سره سمون خوري، سمون د وتلو انټرفیس ته محدودوي او سرچینه په څرګنده ټاکي۔ د زیاتولو پرځای دننه کړئ: په 1 ځای کې دوی د masquerade کرښې دمخه ارزول کیږي۔ د دوی ترمنځ ترتیب مهم نه دی ځکه چې سرچینې یې توپیر لري۔ ens3 د هغه څه سره بدل کړئ چې د روټ حکم راپور ورکړی، او نور فایر وال مدیران له هماغو هنګونو څخه لرې وساتئ، ځکه چې د دوو وسیلو لخوا یو جدول لیکل د سمې قاعدې د اغیز نشتوالي عادي لامل دی۔

سرچینه د نوي جریان سره ثبوت کړئ

Stateful NAT کله چې جریان پیل شي ژباړه تړي او د وروستیو کڅوړو لپاره یې بیا کاروي، نو هغه ناسته چې د بدلون دمخه پرانیستل شوې وه د بدلون وروسته خپله پخوانۍ سرچینه ساتي۔ یوازې نوې پیل شوې اړیکه قاعده ثبوتوي۔

conntrack -L -s 10.88.4.20 -p tcp --dport 443

د هغې ننوتنې د ځواب لوری ولولئ: د هغې منزل هغه پته ده چې لرې پای یې د سرچینې په توګه ویني۔ د هغې سره ستاسو د غوښتل شوې عامه پتې سره پرتله وکړئ، او هغه ننوتنه چې پخوانۍ پته لري د ماتې شوې قاعدې پرځای د ډیر ژر پیل شوي جریان ثبوت وګڼئ۔ له پیرودونکي وغواړئ چې نوې اړیکه پرانیزي، بیا پوښتنه تکرار کړئ۔ د ازموینې د جبري کولو لپاره ټول تعقیبي جدول خالي کول په ګیټوې کې هرې بلي ناستې ته زیان رسوي۔

ژباړه لاهم لاره نه ټاکي، جریان د فلټر له لارې نه تیریږي او داخلي خدمت نه خپروي۔ غلطه لاره او ورکه شوې اجازه قاعده د بشپړ SNAT قاعدې وروسته هم ناکامېږي۔ IPv6 او هر دوهم ډول وتلو لاره هم وګورئ، بیا د داخلي-عامه جوړې د فایر وال په اسنادو کې یادې کړئ ترڅو بل بدلون د قاعدې له متن څخه نه، بلکې د نقشې څخه پیل شي۔