VPN සේවාලාභීන් දෙදෙනෙක්, පොදු ලිපින දෙකක්: SNAT ගැළපන්න

VPN සේවාලාභීන් දෙදෙනෙකුට විවිධ පොදු IPv4 ලිපින දෙකක් හරහා පිටවිය හැක, එය කරන රීතිය බොහෝ දෙනා බලාපොරොත්තු වනවාට වඩා කෙටිය. එය ක්‍රියාත්මක කරන්නේ iptables වාක්‍ය ව්‍යූහය නොව, පැකට්ටුව egress දාමයට ළඟා වන විට ඇති තත්ත්වයයි: එහි මූලාශ්‍ර ලිපිනය තවමත් සේවාලාභීන් වෙන්කර හඳුනාගත යුතුය. කලින් masquerade එකක් දෙදෙනාම එකම ලිපිනයකට ඒකාබද්ධ කර ඇත්නම්, කිසිදු සේවාලාභී-විශේෂිත රීතියකට එම වෙනස නැවත ගෙන ඒමට නොහැක. පළමුව එම ප්‍රශ්නය විසඳන්න, පසුව පරිවර්තනය ලියන්න.

ගේට්වේ දක්වා ඉතිරි වන අනන්‍යතාව කුමක්ද

රීතිය ගැළපෙන්නේ පැකට්ටුවේ මූලාශ්‍ර ලිපිනයට මිස VPN පරිශීලක නාමයට හෝ සේවාලාභී යෙදුමක් පෙන්වන නාමයට නොවේ. මාර්ගයේ කලින් පැකට්ටුව පරිවර්තනය කරන සියල්ල ඔබේ රීතියට තවමත් දැකිය හැකි දේ තීරණය කරයි. nat වගුව අනුපිළිවෙලින් ධාවනය කර මූලාශ්‍රය තවමත් සේවාලාභියාට වෙන් වන ස්ථානය සොයාගන්න.

iptables -t nat -S POSTROUTING

එම ලැයිස්තුව ඉහළින් කියවන්න. ඉහළට ළඟා masquerade රීතියක් ගැළපෙන සෑම ප්‍රවාහයකම මූලාශ්‍රය නැවත ලියයි, එයට පසුව තබන සේවාලාභී-විශේෂිත ඇතුළත් කිරීම් තවදුරටත් නොපවතින ලිපිනයකට ගැළපේ. LAN උපාංග දෙකක් එකම උමං මාර්ගයක් බෙදාගෙන තනි අභ්‍යන්තර ලිපිනයක් ලෙස පැමිණෙන විට, firewall එකට පෙර නිර්මාණය වෙනස් විය යුතුය: ඔවුන්ගේ මූලාශ්‍ර පරාස වෙන් කර තබන්න හෝ එක් එක් කෙනාට තමන්ගේම අභ්‍යන්තර ලිපිනය දෙන්න.

අභ්‍යන්තර ලිපින පැවරීම සත්‍යාපිත සේවාලාභියාට බැඳ තබන්න. එම ලිපිනය වෙනත් උපාංගයකට දීම egress ප්‍රතිපත්තියද භාර දෙයි, සහ මූලාශ්‍ර පරිවර්තනය පමණක් අනන්‍යතා සාක්ෂියක් නොවේ.

පරිවර්තනයට ලිපිනයක් නිර්මාණය කළ නොහැක

සෑම පොදු ලිපිනයක්ම මෙම egress ලක්ෂ්‍යයට පැවරිය යුතුය හෝ මෙතැනට මාර්ගගත කළ යුතුය, සහ පිළිතුරු එතැනට ආපසු එන මාර්ගය සොයාගත යුතුය. කිසිවෙකු ආපසු මාර්ගගත නොකරන ලිපිනයකින් ප්‍රවාහනය යවන රීතියක් දුර කෙළවරේ ඉවත දමනු ලැබේ හෝ එය කිසිදා ඉල්ලා නොසිටි සත්කාරකයකට පිළිතුරු දෙයි. ක්ලවුඩ් සැපයුම්කරුගේ උදාහරණයක සාමාන්‍යයෙන් එහි පොදු ලිපිනය පැකට්ටුව පිටවීමට පෙර පුද්ගලික අතුරුමුහුණත් ලිපිනයකට පරිවර්තනය කර ඇත, එබැවින් SNAT මූලාශ්‍රය සැපයුම්කරු පිළිගන්නා ලිපිනය විය යුතුය, console එක පෙන්වන අගය නොවේ. සැපයුම්කරුගේ ලිපින ආකෘතිය කියවා සෑම පැකට්ටුවකටම පොදු අගය පිටපත් කරනවාට වඩා එය අනුගමනය කරන්න.

ප්‍රායෝගිකව යන්නේ firewall ස්පර්ශ කිරීමට පෙර සැපයුම්කරුගේ console එකේ මාර්ගගත උපසර්ගය පරීක්ෂා කිරීම, සහ සිතියම එකට එකක් වන විට පුද්ගලික අතුරුමුහුණත් ලිපිනය පරිවර්තන මූලාශ්‍රය ලෙස භාවිත කිරීමයි. පහත උදාහරණවල භාවිත ලිපින ලේඛන පරාසවලින් ගන්නා ලද්දකි, එබැවින් පළමුව මාරු කළ යුත්තේ ලිපින පෙළමය.

සාමාන්‍ය masquerade ට පෙර ඇතුළු කරන්න

කිසිවක් එකතු කිරීමට පෙර egress අතුරුමුහුණත සහ වත්මන් දාමය තහවුරු කරන්න. පළමුවැන්න රීතියට ගැළපිය හැකි පැකට්ටු තීරණය කරයි, දෙවැන්න එහි ඉදිරියේ දැනටමත් සිටින දේ පෙන්වයි.

ip -4 route show default
iptables -t nat -L POSTROUTING -n -v --line-numbers

පළමු විධානය අන්තර්ජාලයට යන පැකට්ටුවක් සැබවින්ම පිටවන අතුරුමුහුණත නම් කරයි. දෙවැන්න පේළි අංක සමඟ දාමය මුද්‍රණය කරයි. සාමාන්‍ය masquerade ඇතුළත් කිරීම ඉහළින් රැඳී සිටිය යුතු පේළියයි.

iptables -t nat -I POSTROUTING 1 -s 10.88.4.20/32 -o ens3 -j SNAT --to-source 198.51.100.77
iptables -t nat -I POSTROUTING 1 -s 10.88.4.21/32 -o ens3 -j SNAT --to-source 198.51.100.78

ඉහත රීති දෙක එක් අභ්‍යන්තර ලිපිනයකට බැගින් ගැළපේ, ගැළපීම egress අතුරුමුහුණතට සීමා කරයි, සහ මූලාශ්‍රය පැහැදිලිව සකසයි. එකතු කිරීම වෙනුවට ඇතුළු කරන්න: ස්ථාන 1 හි ඒවා masquerade පේළියට පෙර ඇගයේ. දෙක අතර අනුපිළිවෙල වැදගත් නොවේ, මන්ද ඒවායේ මූලාශ්‍ර වෙනස්ය. route විධානය වාර්තා කළ දෙයින් ens3 මාරු කරන්න, සහ වෙනත් firewall කළමනාකරුවන් එම කොක්කවලින් ඉවත් කර තබන්න, මන්ද මෙවලම් දෙකක් එකම වගුවක් ලිවීම නිවැරදි රීතියකට බලපෑමක් නොමැති වීමට සාමාන්‍ය හේතුවයි.

නව ප්‍රවාහයකින් මූලාශ්‍රය ඔප්පු කරන්න

Stateful NAT ප්‍රවාහයක් ආරම්භ වන විට පරිවර්තනයක් බැඳ, පසුව පැකට්ටු සඳහා එය නැවත භාවිත කරයි, එබැවින් වෙනසට පෙර විවෘත කළ සැසියක් වෙනසට පසුවද එහි පැරණි මූලාශ්‍රය රඳවා ගනී. අලුතින් ආරම්භ කළ සම්බන්ධතාවක් පමණක් රීතිය ඔප්පු කරයි.

conntrack -L -s 10.88.4.20 -p tcp --dport 443

එම සටහනේ පිළිතුරු දිශාව කියවන්න: එහි ගමනාන්තය දුර කෙළවර මූලාශ්‍රය ලෙස දකින ලිපිනයයි. ඔබ අදහස් කළ පොදු ලිපිනය සමඟ එය සසඳන්න, සහ පැරණි ලිපිනය රැගෙන යන සටහන කැඩුණු රීතියක් ලෙස නොව ඉතා ඉක්මනින් ආරම්භ වූ ප්‍රවාහයක සාක්ෂිය ලෙස සලකන්න. සේවාලාභියාට නව සම්බන්ධතාවක් විවෘත කරන ලෙස කියන්න, පසුව විමසුම නැවත කරන්න. සම්පූර්ණ ලුහුබැඳීම් වගුව හිස් කිරීම පරීක්ෂණය බල කිරීමට ගේට්වේහි අනෙක් සෑම සැසියකටම බාධා කරයි.

පරිවර්තනය තවමත් මාර්ගය තෝරන්නේ නැත, පෙරහන හරහා ප්‍රවාහය යවන්නේ නැත, සහ ඇතුළත සේවාවක් ප්‍රකාශයට පත් නොකරයි. වැරදි මාර්ගයක් සහ නොමැති අවසර රීතියක් පරිපූර්ණ SNAT රීතියකට පසුවත් අසාර්ථක වේ. IPv6 සහ ඕනෑම ද්විතීයික egress මාර්ගයක්ද පරීක්ෂා කරන්න, පසුව ඊළඟ වෙනස්කම රීති පෙළ වෙනුවට සිතියමෙන් ආරම්භ වන පරිදි අභ්‍යන්තර-සිට-පොදු යුගල firewall ලේඛනවල සටහන් කරන්න.