Macaamiisha hoose ee ka dambeeya VPN-ka sare: waddo mise NAT?

Hal gateway waxa uu u shaqeeyaa WireGuard qalabkaaga iyo macmiil OpenVPN oo u socda shabakadda qof kale. Gudbinta u dhaxaysa labada interface gudaha ah way shaqaysaa, wayna fudud tahay in la soo gabagabeeyo in shabakad-hoosaadka hoose uu hadda qayb ka yahay adeegga sare. Ma aha. Waddada macmiilku soo jiitay waxay u sheegtaa gateway-gaaga halka codsiyada loo diro; wax kama sheegto sida shabakadda fog ay u soo celiso taraafikada qalab aysan waligeed maqal. Dooro qaab-soo-celin oo uu kan sare dhab ahaan taageero ka hor intaadan ku darin hal xeer.

Go'aanso qaabka soo-celinta ka hor intaadan taaban waddada

Hanadan, macaamiisha hoose waxay isticmaalaan 10.90.0.0/24, cinwaanka tunnel-ka sare ee gateway-ga la siiyay waa 10.80.0.6, khayraadka fog ee la ansixiyay waa 172.20.0.30. Laba qaab ayaa ku habboon qaabkan: ilaalinta isha hoose oo dhinaca fog laga dhigo inuu waddo u sameeyo, ama tarjumaadda isha cinwaanka tunnel-ka gateway-ga laftiisa. Wax walba oo go'aankan ka dambeeya waa farsamo, go'aanka laftiisana wuxuu u baahan yahay milkiilaha adeegga. Hal saf oo kore waa heshiis waddo oo dhinaca fog lala galay; tan kale waa isbeddel siyaasad maxalli ah oo adiga keligaa sameyn karta. Qaladka labadan waa waxa beddela isbeddel toban daqiiqo ah gorgortan.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

Dooro hal saf oo ku adkayso. Safafka waa beddelaadyo, ma aha tallaabooyin, isku-darkooduna waxay soo saartaa nashqad aan cidna ku sharxi karin dib-u-eegista.

Ilaalinta isha iyada oo waddo la marayo

Dhinaca fog wuxuu codsi ka helaa cinwaan hoose, sidaas darteed wuxuu u baahan yahay waddo la taageeray iyo lahaanshaha peer ee shabakad-hoosaadkaas, iyo sidoo kale oggolaansho uu ku aqbalo. Kuwaani waa dejinta fog, mana jiro waddo Linux maxalli ah oo iyaga abuurta. Si cad oo qoraal ah u weydiiso, oo la socda prefix-ka iyo peer-ka tunnel-ka ee qaadi doona, oo ka filo jawaabtu inay ku xiran tahay haddii adeeggu taageero hababka site-to-site gabi ahaanba.

Haddii jawaabtu haa tahay, habaynta maxalliga ah way yar tahay: gudbin daaran, allowed-ips-ka peer-ka WireGuard ee daboolaya xadka hoose, iyo siyaasad firewall oggolaanaya gudbinta labada jiho.

Tarjumaad isha ah oo ula kac ah

Haddii adeeggu taraafikada ku soo celiyo oo keliya cinwaanka macmiilka ku xiran, markaad baxayso isha u tarjun cinwaankaas oo hayso xaaladda conntrack ee u rogta jawaabaha. Xeerka ku xaddid isha hoose ee loogu talagalay, yoolalka fog ee loogu talagalay iyo interface-ka sare. Xeer tarjuma wax kasta oo ka baxa interface kasta waa siyaasad aad uga weyn baahidan, waxayna kaa yaabineysaa mar dambe.

IPv6 wuxuu u baahan yahay nashqad u gaar ah; koobiga safka masquerade-ka IPv4 ma aha dhismo. Tijaabi waddada la tarjumay isku-xir cusub, ma aha mid cache ku jira.

Waddada xogta maxalliga ah wali waa inay shaqaysaa

Tarjumaaddu ma tirtirto shaqada maxalliga ah: gateway-ga wali wuxuu u baahan yahay waddo loo maro yoolalka hoose, lahaanshaha saxda ah ee isha peer-ka WireGuard, gudbin daaran iyo siyaasad firewall cidhiidhi ah oo u dhaxaysa interface-yada. Codsiga lagu abuuray gateway-ga laftiisa mid ka mid ah oggolaanshahaas ma tijaabiyo, taas ayaa sababta tijaabooyinka maxalliga ah ee gateway-ga u gudbaan halka qalabka hoose weli ku guuldarreysto.

Ka tijaabi qalab hoose oo dhab ah, ma aha gateway-ga. Cinwaanka isha waa ujeeddada dhan ee layliskan.

Hal il waxay ka dhigan tahay hal aqoonsi fadhi

Adeegga fog wuxuu arkaa fadhiga la xaqiijiyay ee gateway-ga iyo cinwaankiisa la tarjumay, ma aha xaqiijin madax-bannaan oo qalab kasta oo hoose. Hayso oggolaanshaha qalab kasta iyo aqoonsiga codsiyada si cad, oo la xaqiiji milkiilaha adeegga in gateway u shaqeeya dhowr qalab gabi ahaanba la oggol yahay. Tarjumaaddu ma aha hab lagu dhaafo shuruudda diiwaangelinta qalab kasta; haddii adeeggu u baahan yahay in qalab kastaa is diiwaangeliyo, isticmaal qaabkaas ama ka wada xaajood hab site-to-site ah.

Qor xaqiijintaas runbook-ga oo xeerka agtiisa ah, maxaa yeelay dib-u-eegaha xiga wuxuu weydiin doonaa haddii nashqadda la ansixiyay mise waxay ahayd mid ku habboon oo keliya.

Qeex xaaladda go'doonka, kadibna tijaabi saddex codsi

Go'aanso waxa dhaca marka tunnel-ka sare dhaco. Taraafikada fog ee la oggolaaday waa in aanu si aamusan u raacin waddo kayd WAN caadi ah meesha laga mamnuucay, sidaas darteed siyaasadda firewall ee oggolaanaysa gudbinta waa in sidoo kale ku guuldarraysataa xiran. Kadibna ka tijaabi saddex xaaladood qalab hoose oo dhab ah: codsi la oggolaaday oo shaqeeya, codsi aan la oggolaan oo guuldarraysan, iyo cilad sare oo joojisa kan la oggolaaday.

Qor dib-u-noqoshada hal saf xeer kasta, si isbeddelka looga noqon karo iyada oo aan ujeeddada dib loo dhisin.