NAT-ka LAN-ka iyada oo loo marayo tun0 ee OpenBSD VPN gateway

Laba injineer oo isku gateway OpenBSD ah ayaa inta badan ku siiya laba qaybood oo qaanuunno kala duwan si ay u gaaraan shabakad fog, labadaba waa la difaaci karaa. Doorashada u dhaxaysa tarjumaadda isha iyo waddo noqod ma aha su'aal naxwe ah gabi ahaanba. Waxay ku xiran tahay waxa dhinaca kale hore u ogaa 192.168.88.0/24 iyo waxa aad u baahan tahay inaad ku haysato diiwaannadaada. Halkan khalad ka samee oo khadka nat-to wuxuu u ekaan doonaa mid si buuxda u saxan halka jawaabuhu ku lumi doonaan gateway-ga caadiga ah ee fog.

Mareegta iyo dib-u-qorista waxay ka jawaabaan su'aalo kala duwan

Shaxda mareegtu waxay go'aansataa in 172.20.0.0/16 laga gaari karo tun0, go'aankaasna wuxuu dhacaa ka hor inta aan la tashan wax tarjumaad pf ah. Kadib tarjumaadda ishu waxay beddeshaa madaxa baakadda si dhinaca fog uu u arko cinwaanka tunnel-ka gateway-ga halkii host LAN. Midkoodna ma beddelo kan kale: qaanuun nat ma abuuri karo waddo, waddona ma qancin karto router fog oo aan waligiis maqal shabakaddaada gaarka ah. Marka dhinaca kale aanu lahayn waddo noqod, jawaabaha waa la tuuraa ama waxaa loo diraa gateway-giisa caadiga ah, oo dib-u-habayn qaanuun kasta ma hagaajiso taas.

Si fudud, gudbintu waxay ka jawaabtaa halka taraafikadu tagto, tarjumaadduna waxay ka jawaabtaa halka ay uga muuqato inay timaado. Ku hay labadaba sanduuqyo maskaxeed oo kala duwan inta aad naqshadaynayso qaybta qaanuunnada.

Saddex shuruudood oo go'aamiya

Weydii saddex su'aalood si isku xigta oo nashqaddu inta badan iskeed ayay is doorataa. Shabakadda fog ma leedahay waddo joogto ah oo u jeedda cinwaanka tunnel-ka ee 192.168.88.0/24, mise maamuleheeda ayaa kontoroola router-yada waddadaas? Haddii haa, u daa cinwaannada LAN inay socdaan iyagoo aan beddelmin oo gebi ahaanba ka bood tarjumaadda. Ma u baahan tahay muuqaal macmiil kasta dhinaca fog, ha ahaato siyaasadda gelitaanka ama raad raac. Haddii haa, ilaalinta isha waxay qaadanaysaa shaqada mareegta. Cinwaanka tunnel-ku ma yahay mid deggan oo lagu qori karo waddo fog, mise wuu is beddelaa inta u dhaxaysa isku-xirka?

Haddii jawaab kasta ay tahay maya ama aan la garanayn, nat-to waa ikhtiyaarka macquulka ah, waana kan la beddeli karo. Qaanuunka tarjumaadda hal khad ayuu ku baxaa marka dhinaca kale uu ku daro waddo habboon. Waddada noqod ee aan waligeed la rakibin waxay ku qaadanaysaa hal xadhig taageero mar kasta oo qof weydiiyo sababta tunnel-ku u shaqeeyo hal jiho oo keliya.

Dhigo qaybta si pf run ahaantii u qiimeeyo

Qaybta hoose waxay u malaynaysaa in LAN ay tahay 192.168.88.0/24, shabakadda fog ay tahay 172.20.0.0/16, iyo interface-ka tunnel-ku yahay tun0. Waxba kuma jiraan wax dooranaya tallaabada xigta. Waxay kaliya dib u qortaa isha baakadaha hore uga baxaya tunnel-ka.

match out on tun0 inet from 192.168.88.0/24 to 172.20.0.0/16 nat-to (tun0)
pass in on em0 inet from 192.168.88.0/24 to any keep state

Laba faahfaahin oo khadkaas koowaad ah ayaa qaata culeyska ugu badan. Qawska ku wareegsan tun0 waxay pf u sheegaan inuu akhriyo cinwaanka interface-ka mar kasta oo uu dhiso diiwaan xaalad, taas oo muhiim ah marka tunnel-ka dib loo nambareeyo isku-xir ka dib. Ereyga match macneheedu waa qaanuunku wuu dib u qoraa kadibna hoos ayuu u dhacaa, sidaas darteed qaanuun pass gaar ah weli waa inuu oggolaado qulqulka. Interface-ka lagu magacaabay khadka match waa inuu sidoo kale yahay kan shaxda mareegtu doorato, haddii kale pf wuxuu qaanuunka ku qiimeyn doonaa waddo bax oo ka duwan tan baakaddu runtii qaadato.

Ha iloobin dhinaca kernel-ka. Gudbinta IPv4 waa in la shido, qaanuunnada pass ee xaaladda leh ee tunnel-ka iyo LAN-na waa inay jiraan ka hor inta waxaan oo dhan macne yeesho. Qaybta PF NAT ee OpenBSD FAQ waa tixraaca saxda ah ee nidaamka ereyada muhiimka ah halkan.

Xaqiiji qaybta qaanuunnada ka hor inta aad aaminto taraafikada

Marka hore hubi naxwaha pfctl -nf /etc/pf.conf, kaas oo falanqeeya faylka isagoo aan soo rarin. Kadib soo rar siyaasadda oo dib u akhri waxa kernel-ku runtii hayo, sababtoo ah qaanuun si nadiif ah loo falanqeeyay weli waa la hadhi karaa ama waxaa lagu xiri karaa interface khaldan. pfctl -sn wuxuu daabacaa qaanuunnada tarjumaadda qaabkooda la raray, pfctl -sr-na wuxuu daabacaa qaanuunnada shaandhaynta sida ay isugu xigaan qiimaynta.

Kadib fiiri xadhigga. Gateway-ga, tcpdump -ni tun0 'host 172.20.0.10' wuxuu muujinayaa in cinwaanka isha ee ka baxa tunnel-ku yahay cinwaanka tunnel-ka ama host LAN. netstat -rn -f inet degdeg ah wuxuu xaqiijiyaa interface-ka loo xalliyo meesha loo socdo. Marka taraafikadu qulqulo, pfctl -ss wuxuu taxaa diiwaannada xaaladda; haddii qulqul aanu abuurin xaalad, baakadku waligiis ma uusan la kulmin qaanuun abuura mid.

Haddii dhinaca tunnel-ku u muuqdo mid saxan oo jawaabuhuna weli iman, jooji wax ka beddelka pf. Cilladda hadhay waxay ku taal router-ka fog, halkaas oo jawaabta loo dirayo cinwaan gaar ah oo dhinacaas aanu gaari karin.

Marka tarjumaaddu ka qaalisan tahay waxa ay kaydiso

Tarjumaaddu waxay qarinaysaa macaamiisha, mararka qaarkoodna taasi waa is-dhaafsiga khaldan. Shabakadaha is-dulsaaran waa hal kiis: haddii dhinaca kale uu gudaha sidoo kale isticmaalo 192.168.88.0/24, soo bandhigidda host-yada LAN sida gateway-ga waxay isku dhaca ka dhigtaa mid ka sii xun halkii ay ka wanaajin lahayd. Siyaasadaha IPsec ee taraafikada ku dooranaya lammaane cinwaan waa kiis kale, sababtoo ah keydka siyaasadda ammaanku waxaa la barbardhigaa ka hor tarjumaadda oo waligiis ma arko baakaddaada dib loo qoray. Hirgelin kasta oo lacag ka qaadanaysa, xaddidaysa ama baadhaysa isticmaale kasta sidoo kale waxay lumisaa aqoonsiga ay u baahan tahay isla marka ishu ku ururo hal cinwaan.

Derivatives-ka pf ee la qaadi karo waa dabin gaar ah. Alaabaha soo saara faylallooda qaanuun waxay filaan in NAT lagu habeeyo interface-kooda, qaybaha gacanta lagu beddelayna waa la dulsaaraa rarista xigta. Qaybaha qaanuunnada ee laga koobiyeeyay hagayaal la qoray ka hor inta ereyga match uusan soo bixin ma rar-ka doonaan kernel-ka hadda, sidaas darteed u rar naxwaha oo akhri khaladka halkii aad qiyaasi lahayd.

Qaanuunka go'aanka ee ka badbaada la kulanka shabakadaha dhabta ah waa gaaban: rakib waddo noqod marka aad karto, tarjun marka aad kari weydo, oo qor midka saddexda shuruudood ee ku kallifay doorashadaas. Qoraalkaas wuxuu badbaadinayaa qofka xiga galab.