Taraafikada hal jiho ah ka dib daminta SNAT-ka subnet-ka Tailscale

Dami NAT-ka asalka ah rootarka subnet-ka Tailscale, tunnel-ku sii shaqeeyaa halka isku-xirnaanta dhexdiisa ay joogsato. Codsiyadu waxay gaaraan meesha loo socdo iyagoo wata cinwaanka overlay ee macmiilka fog, taas oo ah ujeeddada isbeddelka, iyo jawaabaha hadda waxay u baahan yihiin waddo aan LAN waligiis u baahnayn inuu ogaado. Waddadaas la'aan baakadaha way soo degto, jawaabahu waxay ka baxaan gateway-ga caadiga ah, khalkuna wuxuu u muuqdaa dhibaato firewall ah oo aan xeer firewall ahi sharraxin. Tunnel-ku waa caafimaad qaba; qaybta soo noqoshada ayaa maqan.

Waxa SNAT qarinayay

Marka SNAT shaqeynayo, rootarku wuxuu dib u qoraa cinwaanka asalka ah oo u beddelaa cinwaanka LAN-kiisa ka hor inta aanu u gudbin subnet-ka, sidaas darteed meesha loo socdo waxay u jawaabtaa martigeliyaha ay hore u garanayso sida loo gaaro oo wax kale looma baahna in la habeeyo. Daminta waxay ilaalisaa asalka asalka ah, meesha loo socdona waxay hadda aragtaa cinwaan ku dhex jira baaxadda overlay halkii ay ka ahaan lahayd deris ku yaal xadhiggiisa. Cinwaankaas waa dhab oo waa la marayn karaa tailnet-ka oo dhan, laakiin LAN lagama gaaro isaga oo mara gateway-ga caadiga ah. Beddelka la diiwaangeliyay waa --snat-subnet-routes=false, oo lagu dabaqo rootarka subnet-ka Linux laftiisa.

Kani waa dejinta joogto ah ee ma aha beddel baakad kasta, sidaas darteed waddada soo noqoshada waa inay jirtaa shabakad kasta oo loo socdo oo uu rootarkani u adeego. Taasi waa waxa isbeddelka ka dhigaya go'aan daabulid halkii ay ka ahaan lahayd sanduuq calaamad. Wax kasta oo uu rootarkani u adeego waxay dhaxlaan shuruudda isla daqiiqadaas.

Halka waddada soo noqoshada ay noqon karto

Saddex meelood ayaa caan ah, waxayna ku kala duwan yihiin gaadhitaanka ee ma aha saxnaanta. Waddo joogto ah oo ku taal martigeliyaha loo socdo ayaa ah tan ugu tooska ah uguna yar ee la ballaarin karo, maadaama qalab kastaa u baahan yahay nuqulkiisa. Shaxda waddooyinka ee VPC ama rootarka goobta waxay daboolaa shabakad dhan hal mar, iyo doorashada DHCP ee qaada waddooyin joogto ah oo aan fasallo lahayn waxay si otomaatig ah u gaartaa macaamiisha laakiin si aamusnaan ah ayay u guuldareysataa qalabka aan dayicin.

ip route add 100.64.0.0/10 via 192.168.1.10
ip route get 100.64.0.5

Meel kasta oo aad dooratid, boodhka xiga waa cinwaanka LAN ee rootarka oo waligiis ma aha cinwaankiisa tailnet. Martigeliyaha LAN ma gaaro overlay ilaa uu haysto waddadan, sidaas darteed boodhka xiga ee gudaha overlay waa wareeg oo baakadda meelna ma diraan. Khaladkaas keliya ayaa sharraxa hababka badan ee u muuqda sax laakiin haddana guuldareysta, wuxuuna ka badbaadaa baaritaan kasta oo akhrinaya oo kaliya shaxda rootarka laftiisa. Qor meesha aad isticmaashay, haddii kale qofka xiga wuxuu tijaabin doonaa tan khaldan.

Akhriska khalka sida taraafik hal jiho ah

Calaamaddu way fududahay in la garto sababta: adeeggu wuxuu ka jawaabaa rootarka laftiisa oo wuu aamusnaadaa macmiil fog. Qabashada meesha loo socdo waxay muujinaysaa codsiyada soo imanaya iyo jawaabaha baxaya, taas oo u muuqata guul ilaa aad ogaato halka jawaabahaas u socdaan. Waxay u socdaan gateway-ga caadiga ah, taas oo macneheedu yahay in qaybta soo gashay shaqeysay qaybta soo noqoshadana aysan shaqeyn.

Qabo rootarka halkii, sababtoo ah wuxuu arkaa labada jiho ee hal is-weydaarsi oo wuxuu muujinayaa haddii jawaab waligeed timid. Haddii jawaabtu ka muuqato meesha loo socdo laakiin waligeed ka muuqan rootarka, waddadu waxay maqan tahay ama khalad ayay ku tahay dhinaca loo socdo. Haddii ay ka muuqato rootarka oo ay halkaas ku istaagto, dhibaatadu way ka sii fog tahay waxayna ka tirsan tahay baaritaan kale.

sudo tcpdump -ni any host 100.64.0.5
ip route get 100.64.0.5

Cinwaanka dhabta ahi ma mudan yahay waddo

Haynta SNAT waxay ahaanaysaa jawaabta fudud markasta oo shabakadda loo socdo aan dib loo habeyn karin, kharashkuna waa in macmiil kastaa u muuqdo sida rootarka diiwaannada iyo siyaasadda meesha loo socdo. Daminta waxaa lagu caddeeyaa marka barnaamijku u baahan yahay cinwaanka asalka dhabta ah ama marka siyaasadda shabakaddu ay tahay inay kala soocdo macaamiisha wadaaga rootar. Labaduba waa sababo sharci ah midna ma aha bilaash. Faa'iidada waa inay mudan tahay ilaalinta waddo shabakad kasta oo loo socdo, oo lagu daro dib-u-eegista firewall-ka ee hoos lagu sharraxay.

Hal LAN yar is-weydaarsigu inta badan wuu bixiyaa, halka qalab badan oo aan qaadan karin waddo joogto ah inta badan uusan bixin. Diiwaangeli go'aanka iyo sababta agtiisa habeynta rootarka, si maamulaha xiga uu u ogaado dhaqanka ula kac ah. Dejinta caadiga ah ee aan cidna qorin lama kala garto halbeeg.

Firewall, diiwaangelinta iyo doorka labanlaabka ah

Xeer kasta oo ku habboonaa cinwaanka LAN ee rootarka hadda wuxuu ku habboon yahay isha kale, oo ay ku jiraan xeerarka ogolaanshaha iyo goob kasta oo diiwaan ah oo rootarka u diiwaangeliyay macmiil. Akhri xeerarkaas ka hor imtixaanka koowaad ee ma aha ka dib guuldarada koowaad, sababtoo ah xeerka kaliya ogolaada cinwaanka rootarka wuxuu gabi ahaanba xannibaa isha cusub. Cidhiidhi geli beddelka macaamiisha iyo dekedaha u baahan, ka dibna xaqiiji inuusan si aamusnaan ah u aqbalin tailnet-ka oo dhan.

sudo nft list ruleset | grep -n '100\.64'
sudo iptables-save | grep -n '100\.64'

Hal nood oo isku mar u adeega sida noodka bixitaanka iyo rootarka subnet-ka waa isku-dar la diiwaangeliyay oo laga yaabo inuu tuuro taraafikada kor u socota marka SNAT-ka subnet-ka la damiyo. Kala soocida doorarkaas noodo kala duwan waxay meesha ka saaraysaa digniintaas waxayna waddo kasta iyo siyaasad firewall kasta siinaysaa hal mulkiile. Haddii doorarku ay wada sii jiraan, filo dhaqankaas oo tijaabi ka hor inta aadan macmiilka eedeyn. Hay waddada, dejinta beddelka iyo qoondaynta doorarka hal qoraal, sababtoo ah waa la wada akhriyaa marka isku-xirka xiga uu guuldareysto.