තවත් NAT එකක් එකතු කිරීමට පෙර පෞද්ගලික LAN අතර මාර්ගගත කරන්න
අතිච්ඡාදනය වන ලිපින අවකාශය, නැතිවූ ආපසු මාර්ගය හෝ විශ්වාස නොකළ ට්‍රාන්සිට් එකක් මාර්ගගත කිරීම, NAT සහ උමං මාර්ග අතර තේරීම තීරණය කරයි. ෆයර්වෝලය සංස්කරණය කිරීමට පෙර මේ තුන පරීක්ෂා කරන්න.
අභ්‍යන්තර ෆයර්වෝල දෙකක්, එක් පෞද්ගලික ට්‍රාන්සිට් කොටසක් සහ එක් එක් LAN හි හොස්ට් කිහිපයකට අනෙක සමඟ කතා කිරීමට ඉඩ දෙන ලෙස ඉල්ලීමක්. සාමාන්‍ය ප්‍රතිචාරය වන්නේ VPN එකක් එසවීම හෝ දෙවන NAT ස්ථරයක් එකතු කිරීමයි, දෙකම ගැටලුවට වටිනා ප්‍රමාණයට වඩා වැඩි පිරිවැයක් දරයි. සාමාන්‍ය මාර්ගගත කිරීම ප්‍රමාණවත් වන්නේ කොන්දේසි තුනක් සම්පූර්ණ වූ විටය: ලිපින පරාස අතිච්ඡාදනය නොවේ, දෙපසටම අනෙක් LAN වෙත රථවාහන ආපසු යැවිය හැකි අතර ට්‍රාන්සිට් කොටස දත්ත සඳහා දැනටමත් ප්‍රමාණවත් ලෙස විශ්වාසදායකය. කිසිවක් නිර්මාණය කිරීමට පෙර මේ තුන පරීක්ෂා කරන්න, මන්ද එක් එක් එක පිළිතුර වෙනස් කරයි.
නිර්මාණය තීරණය කරන කොන්දේසි තුන
පළමු කොන්දේසිය ලිපින අවකාශයයි. LAN දෙකම එකම RFC 1918 කොටස භාවිතා කරන්නේ නම්, මාර්ගගත කිරීමට ඒවා වෙන් කරගත නොහැකි අතර පරිවර්තනය විකල්පීය නොව අනිවාර්ය වේ. දෙවැන්න ආපසු මාර්ගයයි: A සිට B දක්වා මාර්ගයක් අනවශ්‍ය වන්නේ B ද A හි LAN වෙත ළඟා වන ආකාරය නොදන්නා නම් ය, සහ අසමමිතික දැනුම මාර්ගගත නිර්මාණයක් නිහඬව පිළිතුරු අත්හැරීමට ඇති පොදුම හේතුවයි.
තෙවැන්න විශ්වාසයයි. මාර්ගගත කිරීම පැකට් ගෙනයයි; ඒවා ආරක්ෂා නොකරයි. එක් ගොඩනැගිල්ලක් තුළ පවතින පෞද්ගලික ට්‍රාන්සිට් කොටසක් සේවා සපයන්නෙකුට භාර දීම හෝ හවුල් කැම්පස් කොඳු නාරටියක් තරණය කරන සම්බන්ධතාවයක් වෙනස් කරුණකි. කොටස විශ්වාසදායක නොවේ නම්, පිළිතුර ෆයර්වෝල දෙකක් අතර උමං මාර්ගයකි, සහ පහත මාර්ගගත සැලැස්ම එහි ඇතුළතද අදාළ වේ.
තුනම එකම දිශාවට යොමු වූ විට පමණක් සරල නිර්මාණය ජය ගනී. ඒවායින් එකක් අසාර්ථක වූ විට, පරිවර්තනයෙන් වැසීම වෙනුවට එම කොන්දේසිය පැහැදිලිව නිවැරදි කරන්න, මන්ද NAT අසාර්ථකත්වය සඟවයි, විසඳන්නේ නැත.
ට්‍රාන්සිට් ජාලය මත මාර්ග සැලැස්ම ගොඩනගන්න
සෑම ෆයර්වෝලයකටම හවුල් කොටස මත ලිපිනයක් දෙන්න සහ සෑම දුරස්ථ LAN එකකටම එක් නිශ්චිත මාර්ගයක් එකතු කරන්න. පවතින වින්‍යාසයේ වෙන කිසිවක් චලනය කළ යුතු නැත, විශේෂයෙන් අන්තර්ජාල පෙරනිමි මාර්ගය එය ඇති තැනම රැඳිය යුතුය. පෙරනිමි මාර්ගය සමස්ත ෆයර්වෝලයෙන් ප්‍රතිස්ථාපනය කිරීමෙන් සෑම අදාළ නොවන ගමනාන්තයක්ම ට්‍රාන්සිට් හරහා යවනු ඇත, එය ඉල්ලා සිටින වෙනසට වඩා බෙහෙවින් විශාලය. pfSense හි ස්ථිතික මාර්ගගත කිරීම පිළිබඳ ලේඛනය එම වේදිකාව සඳහා එකම මාර්ග-සමඟ-ද්වාර ආකෘතිය විස්තර කරයි, සහ ඔබ සැබවින්ම ධාවනය කරන ඕනෑම ෆයර්වෝලයක සමාන පාලනයක් පවතී.
| Firewall | Remote LAN | Next hop on the transit |
|---|---|---|
| A | 10.40.0.0/24 | 192.0.2.20 |
| B | 10.30.0.0/24 | 192.0.2.10 |
ෆයර්වෝල A 10.30.0.0/24 සේවා කරයි, ෆයර්වෝල B 10.40.0.0/24, ට්‍රාන්සිට් ලිපින දෙක 192.0.2.0/24 හි ඇත. සෑම LAN හොස්ටයක්ම තම දේශීය ෆයර්වෝලය ද්වාරය ලෙස තබා ගනී, එබැවින් එකම නව තත්ත්වය එක් එක් පැත්තේ එක් මාර්ගයකි. Linux පාදක ෆයර්වෝලයක එම සැලැස්ම මෙසේ පෙනේ, සහ ඉදිරියට යැවීම සක්‍රීය විය යුතුය, නොඑසේ නම් මාර්ගය විසඳෙන අතර පැකට් ඉවතලනු ඇත.
sysctl -w net.ipv4.ip_forward=1 ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1 ip route get 10.40.0.15 traceroute -n 10.40.0.15
පෙරහන පරිවර්තනයෙන් වෙන් කර තබන්න
මාර්ගගත කිරීම සහ ප්‍රතිපත්තිය වෙනස් පාලන වේ, දෙවැන්නේදී බොහෝ මාර්ගගත නිර්මාණ සැබවින්ම අසාර්ථක වේ. පැකට් සැබවින්ම තරණය කරන ආගමන සීමාවේ නිශ්චිත මූලාශ්‍ර, ගමනාන්ත සහ සේවාවලට අවසර දෙන්න, සහ WAN වැනි අතුරුමුහුණත් ලේබලයක් නමක් මිස විශ්වාසය පිළිබඳ ප්‍රකාශයක් නොවන බව මතක තබා ගන්න. පෞද්ගලික රථවාහන ගෙනයන ට්‍රාන්සිට් වරායක පෞද්ගලික ලිපින අවහිර කිරීම පෙරනිමියෙන් තවමත් සක්‍රීය විය හැකිය.
පසුව NAT සිදු නොවන බව නිගමනය කිරීමට පෙර පිටවන පරිවර්තනය දෙස බලන්න. ස්වයංක්‍රීය පිටවන නීති කිසිදා පරිවර්තනය සඳහා නොවූ රථවාහන නැවත ලිවිය හැකිය, එය අනෙක් පැත්තට තම ප්‍රතිපත්තිය සහ සටහන් සඳහා අවශ්‍ය මූලාශ්‍ර ලිපින විනාශ කරයි. තෝරාගත් ප්‍රවාහ මුල් ලිපින රඳවා ගන්නා බව තහවුරු කරන්න, සහ තවමත් අවශ්‍ය රථවාහන සඳහා අන්තර්ජාල පරිවර්තන නීති එලෙසම තබන්න.
iptables -t nat -S POSTROUTING iptables -t nat -L POSTROUTING -n -v tcpdump -ni eth1 -c 5 host 10.40.0.15
NAT අවංක පිළිතුර වන විට
ලිපින පරාස සැබවින්ම අතිච්ඡාදනය වන අතර නැවත අංකනය කිරීම නොමැති විට, හෝ ප්‍රතිපත්තියක් එක් පැත්තකට උපජාලයක් වෙනුවට තනි ලිපිනයක් දැකීමට ඉල්ලා සිටින විට පරිවර්තනය තම ස්ථානය දිනා ගනී. එවැනි අවස්ථාවලදී හිතාමතා කරන ලද එකින්-එකට හෝ වරාය-සීමිත සිතියම්කරණය දන්නා ප්‍රතිවිපාක සහිත නිර්මාණ තීරණයකි, වැඩ කර ගැනීමේ මාර්ගයක් නොවේ.
සත්‍ය වශයෙන් කිව යුතු ප්‍රතිවිපාකය නම් අනෙක් පැත්තට තවදුරටත් තනි මූලාශ්‍ර බැලීමට හෝ පෙරහන් කිරීමට නොහැකි වීමයි. සටහන් පරිවර්තන ලිපිනයට කුඩා වේ, හොස්ටයට විශේෂිත ප්‍රතිපත්තිය ක්‍රියා නොකරයි, සහ ගැටලු නිරාකරණය යම් මොහොතක කුමන අභ්‍යන්තර හොස්ටයට ප්‍රවාහයක් තිබුණි ද යන්න සොයා යාමක් බවට පත්වේ. ප්‍රශ්නගත රථවාහන සඳහා ඒ කිසිවක් වැදගත් නොවේ නම්, NAT හොඳයි.
ට්‍රාන්සිට්ම යනුම වැරදි උපකල්පනය වන විට
හවුල් කොටසක් සේවා සපයන්නෙකු, හවුල් ස්විච් රෙද්දක් හෝ තවත් පාර්ශ්වයකට රථවාහන කියවිය හැකි ඕනෑම මාර්ගයක් හරහා ගමන් කරන්නේ නම්, මාර්ගගත කිරීම පමණක් සම්පූර්ණ පිළිතුරක් නොවේ. ෆයර්වෝල දෙකක් අතර උමං මාර්ගයක් ඔබට රහස්‍යභාවය සහ සහකරු සත්‍යාපනය ලබා දෙයි, සහ එහි ඇතුළත මාර්ග වගුව ඔබ ට්‍රාන්සිට් මත ලියනු ලබන එම වගුවම වේ.
මෙය පළමු කොටසේ විශ්වාස ප්‍රශ්නයෙන් තීරණය කරන්න, VPN වඩාත් ආරක්ෂිත යැයි යන පුරුද්දෙන් නොව. දැනටමත් පෞද්ගලික වන කොටසක් මත උමං මාර්ගයක් කිසිදු ප්‍රයෝජනයක් නොමැතිව මෙහෙයුම් පිරිවැය සහ තවත් එක් අසාර්ථකත්ව ආකාරයක් එකතු කරයි, අවිශ්වාසදායක කොටසක් මත මාර්ගගත කිරීම ඔබට දරාගත නොහැකි සරල බවක් සඳහා රහස්‍යභාවය මාරු කරයි. කොන්දේසි තුනෙන් කුමක් තේරීම මෙහෙයවූයේ ද යන්න ලියා තබන්න, ඊළඟ ඉංජිනේරුවාට එය නැවත විවාද කිරීමට සිදු නොවේ.