Ku daabac adeegga LAN ciwaanka gateway-ga VPN laftiisa

Soo bandhigidda qalab LAN ku yaal mid ka mid ah ciwaannada tunnel ee gateway-ga laftiisa waxay u baahan tahay hal saf oo NAT ah. Xiriirku wali wuu guuldareystaa, sababtoo ah qalabka jawaabaya ma oga in ciwaanka macmiilka laga gaari karo gateway-gaas. Raac baakadda macmiilka ilaa gudaha, ka dib raac jawaabta dib ugu noqo bannaanka, oo qaybta maqan way caddaan doontaa.

Ka bilow aragtida macmiilka

Macmiilka tusaalahan wuxuu ku jiraa barkadda VPN 10.62.0.0/24 wuxuuna ku xirmayaa 10.62.0.1 dekedda 8080. Ciwaankaas waxaa leh gateway-ga laftiisa, sidaas darteed baakaddu waxay gaartaa kernel-ka gateway-ga halkii ay ka gaari lahayd saaxiib kale. Gateway-ga gadaashiisa LAN waa 172.21.4.0/24. Gateway-gu wuxuu hayaa 172.21.4.10, qalabka dhab ahaan u adeega HTTP-na waa 172.21.4.40.

Ciwaan u leh saaxiib VPN kale lama beddeli karo ciwaanka adeegga gateway-ga. Haddii macmiilku ku xirmayo ciwaanka saaxiib, ma jiro qaanuun gateway ah oo ku lug leh gabi ahaan, safarkan oo dhanna waa kiiska khaldan.

Si ula kac ah u xaddid tarjumaadda goobta

Nooca cidhiidhi ah wuxuu soo bandhigaa hal deked oo kaliya wuxuuna dib u qoraa goobta. Baakaddu waxay hayaan tahay borotokoolkeeda iyo ishaheeda, taasna waa waxa safarka hadhay xiiso u leh.

iptables -t nat -A PREROUTING -i tun0 -s 10.62.0.0/24 -d 10.62.0.1 -p tcp --dport 8080 -j DNAT --to-destination 172.21.4.40:80

Qaanuun aan lahayn shuruudaha borotokoolka iyo dekedda waa nooca ballaaran: waxay hayaan tahay deked kasta oo macmiilku doortay oo kaliya waxay beddelaa ciwaanka. Taasi waa sharci marka loo dan leeyahay soo bandhigidda martigeliyaha oo dhan, waana khalad marka hal adeeg la doonayay. Dib u akhri qaanuunka oo xaqiiji magaca interface-ka. Qaanuunka DNAT ee interface khaldan waxba kuma habboona, taas oo soo saarta isla waqtiga dhamaadka sida qaanuun maqan oo lumiya saacad lagu eegayo qalabka.

U ogolow in xadka gudbintu isku raaco

Tarjumaaddu waxay beddelaa madaxa, ma bixiso fasax. Iyada oo leh siyaasad tuurid caadi ah, qulqulka la gudbiyay wuxuu u baahan yahay oggolaansho u gaar ah, jihada dib u noqoshadana waxay u baahan tahay qaanuunka xiriirka la aasaasay oo siyaasaddaadu ay u badan tahay in ay horey u leedahay.

iptables -A FORWARD -i tun0 -o lan0 -d 172.21.4.40 -p tcp --dport 80 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Oggolaansho aan shuruud lahayn oo qulqul kasta oo DNAT ah waa ka ballaaran tahay naqshaddan oo waxay sidoo kale oggolaan doontaa khariidadaha qof kale ku daro mar dambe. Magacaab goobta iyo dekedda, oo inta kale ha xirnaato. Haddii tiriyayaasha qaanuunka gudbintu eber ku sii jiraan iyada oo tiriyayaasha NAT kor u kacayaan, baakaddu waxay ka hor qaanuunkaaga la tuurayaa. Akhri nidaamka silsiladaha halkii aad ku dari lahayd nuqul labaad.

Qalabku waa inuu si uun u jawaabo

Tarjumaadda ka dib qalabku wuxuu arkaa isha ku jirta 10.62.0.0/24. Jawaabtiisu waxay u socotaa gateway-ga caadiga ah, kaas oo ah router-ka LAN, ma aha gateway-ga VPN, haddii aan wax kale u sheegin si kale. Laba hab oo qalabka ah ayaa taas hagaajiya oo isku mid ma aha. Waddo ku taal qalabka ama router-ka LAN waxay u dirtaa 10.62.0.0/24 172.21.4.10 iyada oo ilaalisa isha macmiilka. Tarjumaad isha xaddidan ayaa halkii ka qarinaysa macmiilka gadaashiisa ciwaanka LAN ee gateway-ga.

ip route add 10.62.0.0/24 via 172.21.4.10 dev eth1
iptables -t nat -A POSTROUTING -s 10.62.0.0/24 -d 172.21.4.40 -o lan0 -p tcp --dport 80 -j SNAT --to-source 172.21.4.10

Dooro iyada oo ku saleysan waxa adeeggu u baahan yahay. Siyaasadda macmiil kasta iyo diiwaannada macno leh waxay rabaan qaabka la maro; qalab aan waddo la siin karin, ama adeeg ay tahay inuu arko ciwaanka LAN, waxay tilmaamayaan qaabka la tarjumay. Ha u gacan gelin qaanuun masquerade caalami ah si hal jawaab u shaqeeyo. Waxay ka qarinaysaa macmiil kasta goob kasta waxayna aamusnaan ku jabtaa siyaasadaha ku tiirsan ciwaannada isha.

Ha ka tijaabin gateway-ga laftiisa

Codsi lagu abuuray gateway-ga oo u socda 10.62.0.1 wuxuu ka baxaa silsiladda OUTPUT, ma aha PREROUTING soo gasha. Guuldarradiisa ama guushiisu waxba kama sheegto qaanuunka u jeedda macmiilka, sidaasna ayay dadku ku soo gabagabeeyaan in qaanuun shaqeeya uu jabay.

conntrack -L | grep 172.21.4.40
tcpdump -ni any 'port 8080 or port 80'

Ord codsi macmiil dhab ah oo akhri labadaba. Gelitaanka conntrack wuxuu muujinayaa tarjumaadda la dabaqay, duubistuna waxay muujinayaan in codsigu u gudbay LAN iyo in jawaab dib ugu soo noqotay tunnel-ka. Isticmaal xiriir cusub ka dib beddelka qaanuunnada, sababtoo ah xaaladda jirta waxay hayaan tahay khariidaddeedii hore oo waxay sii socon doontaa inay ku guuldareysato habkii hore. Ka dib xaqiiji wada hadalka oo dhan: ciwaanka qalabka, fasaxa gudbinta iyo waddada jawaabtu dhammaantood waxay qeexayaan isla qulqul.