Hairpin NAT: sababta barta VPN aysan uga shaqeyn karin gudaha

Server VPN oo ka jawaaba shabakad mobil ah balse suufka ka guul darreeya badanaa ma aha mushkilad shahaado. Macmiilka ku jira LAN-ka wuxuu router-ka weyddiistaa inuu turjumo baakad ujeeddadeedu tahay cinwaanka guud ee router-ka laftiisa, taas oo macnaheedu yahay baakadku waa inuu baxo oo isla markiiba dib u soo galo. Dhaqdhaqaaqan waxaa loo yaqaan hairpinning, iyo router badan ayaa ama ma fuliyo ama wuxuu sameeyaa oo kaliya marka sanduuqa calaamaduhu shaqeeyo. Guusha imtixaanka dibadda ayaa jahawareerka keenta, maxaa yeelay waxay caddeynaysaa in dhageystaha iyo qaanuunka gudbinta ay saxan yihiin.

Baakadku wuu baxaa oo dib u soo galaa

Raac baakadka. Macmiilku wuxuu xalliyaa magaca guud, wuxuu ku xirmayaa cinwaanka guud, iyo NAT-ka ujeeddada ee router-ka wuxuu dib u qoraa ujeeddada server-ka gudaha. Jawaabta server-ku waxay ku wajahan tahay cinwaanka LAN ee macmiilka, sidaas darteed waxay ku noqotaa iyada oo maraysa interface-ka LAN ee router-ka iyada oo aan waligeed marin qaanuunka NAT ee dib u turjumi lahaa isha.

Hadda macmiilku wuxuu baakad ka helaa cinwaan uusan waligiis wax u dirin, wuuna tuuraa. Asymmetry-gaas ayaa ah dhammaan ciladdu.

RFC 4787 waxay qeexdaa hab-dhaqanka laga filayo NAT-ka kiiskan, iyo nooca gaaban ayaa ah in uu ficil ahaan ikhtiyaari yahay xitaa meesha laga dhigay aragti ahaan. Router-yada qaar waxay dejinta u yaqaaniin NAT loopback, kuwa kale waxay u yaqaaniin hairpin NAT ama NAT reflection, qaarna waxba ma muujiyaan. Router-ka aan tan lahayn ma aha mid si khaldan loo habeeyay; wuxuu sameeyaa waxa caadiga ah, sixidduna meel kale ayay ku habboon tahay. Ha ka soo gabagabeyn imtixaan maxalli ah oo guul darreeyay in qaanuunka gudbinta guud uu khaldan yahay.

Hubinta 1: si gooni ah u tijaabi labada waddo

Ka baxsan LAN-ka, ku xir isla profile-ka isticmaalaha dhabta ah isticmaali lahaa oo xaqiiji in fadhiga la aasaasay. Gudaha, ku xir cinwaanka guud isla profile-kaas oo qor qaladka saxda ah iyo waqtiga.

Imtixaan maxalli ah oo sax ah wuxuu hayaa magaca martigeliyaha oo wuxuu beddelaa cinwaanka oo keliya: curl -v --resolve vpn.example.com:443:203.0.113.10 https://vpn.example.com/ waxay codsiga u dirtaa cinwaanka guud iyada oo weli soo bandhigaysa magaca server-ka saxda ah. Taasi waxay kala soocdaa dhibaatada xallinta magacyada iyo dhibaatada turjumaadda, kuwaas oo si fudud isku qaldma marka isla magacaas ka shaqeeyo maqaaxi. Ogow in macmiilku ku guul darreeyo xiriirka TCP ama ka dib TLS, maxaa yeelay tan hore waxay tilmaamaysaa turjumaadda tan dambena waxay tilmaamaysaa aqoonsiga.

Hubinta 2: akhri waxa server-ku arko

U fiirsashada ugu faa'iidada badan waa aragtida server-ka. Ku socodsii qabasho martigeliyaha VPN oo lagu shaandheeyay cinwaanka LAN ee macmiilka iyo cinwaanka LAN ee router-ka, kadibna ku celi isku dayga maxalliga ah. Haddii waxba aanay imaan, baakadku kama badbaadin turjumaadda.

Haddii xiriirku ka yimaado cinwaanka LAN ee router-ka halkii uu ka iman lahaa kan macmiilka, hairpinning ayaa dhacaya ishana dib ayaa loo qoray. Kani waa habayn shaqeysa, ma aha cilad.

Hubinta 3: hagaaji adigoon taaban wadada dibadda

Waxaa jira saddex qaab oo la taageeray, iyadoo xajmiga saameyntu kor u kacayo. Tan ugu cidhiidhsan waa DNS kala qaybsan: daabac diiwaan gudaha ah si isla magaca server-ka loogu xalliyo cinwaanka gudaha macmiillada LAN-ka, taas oo gebi ahaanba ka fogaanaysa wadada guud. Tan xigta waa daqiiqidda ikhtiyaarka loopback ama reflection ee router-ka, haddii uu leeyahay, iyo in lagu saleeyo adeegan oo keliya. Tan ugu ballaadhan waa qaanuunka source-NAT ee router-ka oo dib u qora taraafikada ka timaadda LAN-ka xagga server-ka si jawaabtu ugu soo noqoto router-ka; router Linux ah waa qaanuun MASQUERADE ku jira POSTROUTING oo u dhigma cinwaanka iyo dekedda server-ka. Saddexda mid kastaaba waxay wadada dibadda ka dhigtaa mid aan la taaban, waana sifadaas in la ilaaliyo.

Ha ballaarin gudbinta dekedaha aan la xiriirin si wadada maxalliga ah ay u noqoto mid la mid ah tan dibadda, hana u rarin adeega deked kale si aad uga fogaato dhibaatada. Labada isbeddelba waxay beddelaan waxa adduunka dibaddu gaari karo si loo hagaajiyo waxa kaliya ee adduunka guduhu arko.

DNS kala qaybsan waxay leedahay hal dabin oo mudan in la sheego. Ku beddelka magaca martigeliyaha IP aan loo baahnayn waxay beddelaa waxa macmiilku xaqiijiyo, sidaas darteed diiwaanka gudaha wali waa inuu la jaanqaadaa magaca shahaadada.

Hubinta 4: ka dib xaqiiji labada waddo

Ku celi isku dayga dibadda oo ka yimid dibadda LAN-ka, ku celi isku dayga gudaha isla profile-ka, oo xaqiiji in diiwaanka server-ku muujinayo laba fadhi oo guulaystay oo gooni ah ee ma aha hal guul iyo hal aamusnaan. Kadib hubi in macmiillada kale ay wali gaaraan dhageystaha iyo in wadooyinka kheyraadka gaarka ah aanay isbeddelin.

Diiwaanka ku hay gaaban: cinwaan kee ayay isticmaaleen macmiil kastaa, waxa server-ku arkay, iyo saddexda sixid mid kee la adeegsaday. Shuruudaha hairpinning ee RFC 4787 ayaa halkan tixraac u ah waxa laga filayo NAT-ka, waxayna sharxaan sababta router aan lahayn astaamahan uu u dhaqmo si caadi ah. Guul darrada maxalliga ah ee adduunka dibaddu aanu soo saari karin waa su'aal turjumaad ilaa laga caddeeyo lidkeeda, sidaas darteed u tijaabi sidaas.