Odjemalci podrejenega omrežja za nadrejenim VPN: pot ali NAT?

En prehod izvaja WireGuard za vaše naprave in odjemalca OpenVPN v tuje omrežje. Posredovanje med dvema notranjima vmesnikoma deluje, in zlahka sklenemo, da je podrejeno podomrežje zdaj del nadrejene storitve. Ni. Pot, ki jo odjemalec potegne, pove vašemu prehodu, kam pošiljati zahteve; ne pove ničesar o tem, kako oddaljeno omrežje vrača promet napravam, za katere ni nikoli slišalo. Izberite model vračanja, ki ga nadrejena storitev resnično podpira, preden dodate eno samo pravilo.

Odločite se o modelu vračanja, preden se dotaknete usmerjanja

V tem pregledu podrejeni odjemalci uporabljajo 10.90.0.0/24, prehodu dodeljen naslov nadrejenega tunela je 10.80.0.6, odobreni oddaljeni vir pa je 172.20.0.30. Temu vzorcu ustrezata dva modela: ohraniti podrejeni vir in doseči, da ga oddaljena stran usmerja, ali prevesti vir v lasten naslov tunela prehoda. Vse po tej odločitvi je mehansko, odločitev sama pa potrebuje lastnika storitve. Ena vrstica zgoraj je dogovor o usmerjanju z oddaljeno stranjo; druga je lokalna sprememba politike, ki jo lahko naredite sami. Prav zamenjava teh dveh spremeni desetminutno spremembo v pogajanja.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Izberite eno vrstico in se je držite. Vrstice so alternative, ne koraki, in njihovo mešanje da zasnovo, ki je nihče ne zna razložiti na pregledu.

Usmerjeno ohranjanje vira

Oddaljena stran prejme zahtevo s podrejenega naslova, zato potrebuje podprto pot in lastništvo peer za to podomrežje ter dovoljenje, da jo sprejme. To so oddaljene nastavitve in nobena lokalna pot Linux jih ne ustvari. Zahtevajte jih izrecno in pisno, s predpono in tistim tunelskim peer, ki jo bo nosil, in pričakujte, da bo odgovor odvisen od tega, ali storitev sploh podpira ureditve med lokacijami.

Če je odgovor da, je lokalna konfiguracija majhna: posredovanje omogočeno, allowed-ips peerja WireGuard, ki pokrivajo podrejeno območje, in požarna politika, ki dovoljuje prehod v obe smeri.

Namerno prevajanje vira

Če storitev vrača promet le na naslov povezanega odjemalca, ob izhodu prevedite vir v ta naslov in ohranite stanje conntrack, ki ga za odgovore obrne. Pravilo omejte na predvidene podrejene vire, predvidene oddaljene cilje in nadrejeni vmesnik. Pravilo, ki prevede vse, kar zapusti vsak vmesnik, je veliko večja politika od te zahteve in vas bo pozneje presenetilo.

IPv6 potrebuje lastno zasnovo; kopiranje vrstice masquerade za IPv4 ni arhitektura. Preizkusite prevedeno pot z novo povezavo, ne s predpomnjeno.

Lokalna podatkovna pot mora še vedno delovati

Prevajanje ne odpravi lokalnega dela: prehod še vedno potrebuje pot do podrejenih ciljev, pravilno lastništvo vira peerja WireGuard, omogočeno posredovanje in ozko požarno politiko med vmesniki. Zahteva, ustvarjena na samem prehodu, ne preizkusi nobenega od teh dovoljenj, zato lokalni preskusi na prehodu uspejo, podrejene naprave pa še vedno odpovedo.

Preizkusite iz resnične podrejene naprave, ne s prehoda. Naslov vira je ves smisel vaje.

En vir pomeni eno identiteto seje

Oddaljena storitev vidi overjeno sejo prehoda in njegov prevedeni naslov, ne neodvisnega overjanja za vsako podrejeno napravo. Dovoljenja na napravo in identitete aplikacij ohranite izrecna ter pri lastniku storitve potrdite, da je prehod, ki deluje za več naprav, sploh dovoljen. Prevajanje ni način za obhod zahteve po registraciji vsake naprave; če storitev zahteva registracijo vsake naprave, uporabite ta model ali se pogajajte o ureditvi med lokacijami.

To potrditev zapišite v runbook ob pravilo, ker bo naslednji pregledovalec vprašal, ali je bila zasnova odobrena ali le priročna.

Določite stanje prekinitve in nato preizkusite tri zahteve

Odločite, kaj se zgodi, ko nadrejeni tunel pade. Pooblaščeni oddaljeni promet ne sme tiho slediti običajni rezervni poti WAN tam, kjer je to prepovedano, zato mora požarna politika, ki dovoljuje prehod, tudi odpovedati zaprta. Nato preizkusite tri primere iz resnične podrejene naprave: dovoljeno zahtevo, ki deluje, prepovedano zahtevo, ki odpove, in napako na nadrejeni strani, ki ustavi dovoljeno.

Zapišite razveljavitev v eni vrstici na pravilo, da je spremembo mogoče preklicati brez obnavljanja namena.