U marso dhex mar LAN-ada gaarka ah ka hor intaadan ku darin NAT kale

Laba firewall oo gudaha ah, hal qayb oo gudbin gaar ah, iyo codsi ah in dhowr marti-geliyaha LAN kasta ay la hadlaan kuwa LAN kale. Fal-celinta caadiga ah waa in VPN la dhiso ama lakab labaad NAT lagu daro, labadaba waxay ka qaalisan yihiin inta dhibaatadu mudan tahay. Marinnada caadiga ah way ku filan tahay marka saddex shuruudood buuxa: xaddiga cinwaannada isma dulsaaraan, labada dhinacba waxay u celin karaan taraafikada LAN kale, iyo qaybta gudbintu horay ugu aamin badnaan macluumaadka. Hubi saddexdan ka hor intaadan wax naqshadeyn, sababtoo ah mid kastaa wuxuu beddelaa jawaabta.

Saddex shuruudood oo go'aansanaya naqshadda

Shuruudda koowaad waa meesha cinwaannada. Haddii labada LAN ay isticmaalaan isla block RFC 1918, marinnadu ma kala saari karto oo tarjumaaddu waxay noqonaysaa lama huraan halkii ay ikhtiyaar ahaan lahaan lahayd. Midda labaad waa waddo soo-noqod: waddo ka A ilaa B waa wax aan faa'iido lahayn haddii B uusan sidoo kale garanayn sida loo gaaro LAN-ka A, aqoonta aan is-le'egna waa sababta ugu badan ee naqshad leh marinnada ay si aamusan u tuurto jawaabaha.

Midda saddexaad waa kalsoonida. Marinnadu waxay dhaqaajisaa baakadaha; ma ilaaliso. Qayb gudbin gaar ah oo gudaha hal dhismo ah waa wax ka duwan wareejin loo sameeyay bixiye ama xiriir ka gudbaya laf-dhabarka jaamacadeed ee la wadaago. Haddii qaybta aan la aaminin, jawaabtu waa tunnel u dhexeeya labada firewall, qorshaha marinnada ee hoose-na wali wuu khuseeyaa gudaheeda.

Naqshadda fudud waxay guuleysataa kaliya marka saddexdaaba isku jiho tilmaamaan. Marka midkood guul-darraysto, hagaaji shuruuddaas si cad halkii aad ku dabooli lahayd tarjumaad, sababtoo ah NAT waxay qarisaa guul-darrada halkii ay xallin lahayd.

Ka dhis qorshaha marinnada shabakadda gudbinta

Siin firewall kasta cinwaan ku yaal qaybta la wadaago oo ku dar hal waddo gaar ah LAN kasta oo fog. Wax kale oo ku jira habeynta jirta looma baahna in dhaqaaqo, gaar ahaan waddada caadiga ah ee internet-ka waa inay si sax ah ugu hartaa meesha ay ku taal. Beddelka waddo caadi ah firewall-ka lammaanaha waxay u diri lahayd goob kasta oo aan xiriir lahayn gudbinta, taas oo ah isbeddel aad uga weyn kan la codsaday. Dukumeentiga pfSense ee ku saabsan marinnada joogtada ah wuxuu sharraxayaa isla qaabka waddo-iyo-irid kaas platform-kaas, qeybta u dhiganta-na waxay ku jirtaa firewall kasta oo aad dhab ahaan ku shaqeyso.

Firewall A waxay u adeegtaa 10.30.0.0/24, firewall B-na waxay u adeegtaa 10.40.0.0/24, labada cinwaan gudbin-na waxay ku yaalliin 192.0.2.0/24. Marti-geliyaha LAN kastaa wuxuu hayaa firewall-kiisa maxalliga ah sida iridda, marka xaaladda cusub ee kaliya waa hal waddo dhinac kasta. Firewall ku saleysan Linux isla qorshaha ayaa sidan u eg, gudbinta-na waa in la shido haddii kale waddada waa la xallin doonaa iyadoo baakadda la tuurayo.

sysctl -w net.ipv4.ip_forward=1
ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1
ip route get 10.40.0.15
traceroute -n 10.40.0.15

Kala sooc shaandhaynta iyo tarjumaadda

Marinnada iyo siyaasaddu waa kontoroollo kala duwan, midda labaadna waa halka inta badan naqshadaha marinnada ay dhab ahaan ku guul-darraystaan. U oggolow ilaha, goobaha iyo adeegyada gaar ah xadka gelitaanka ee baakadaha dhab ahaan ka gudbaan, oo xusuuso in sumadda interface-ka sida WAN ay tahay magac, ma aha bayaan ku saabsan kalsoonida. Deked gudbin oo qaadda taraafik gaar ah waxay weli yeelan kartaa xannibaadda cinwaannada gaarka ah oo shaandhaysan sida caadiga ah.

Kadib eeg tarjumaadda bixitaanka ka hor intaadan go'aansan in aan NAT dhicin. Sharciyada bixitaanka otomaatiga ah waxay dib u qori karaan taraafik aan marnaba loo qorsheyn tarjumaad, taasna waxay baabi'isaa cinwaannada isha ee dhinaca kale uga baahan yahay siyaasaddiisa iyo diiwaankiisa. Xaqiiji in qulqulka la doortay ay hayaan cinwaannadooda asalka ah, oo ka tag sharciyada tarjumaadda internet-ka taraafikada weli uga baahan.

iptables -t nat -S POSTROUTING
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni eth1 -c 5 host 10.40.0.15

Marka NAT ay tahay jawaabta daacadda ah

Tarjumaaddu waxay booskeeda mudan tahay marka xaddiga cinwaannada si dhab ah is dulsaaraan oo dib-u-nambayn aan la helin, ama marka siyaasaddu ay dalbato in dhinac uu arko hal cinwaan halkii uu arki lahaa shabakad-hoosaad. Xaaladahaas, khariidad ula kac ah mid-ilaa-mid ama deked-kooban waa go'aan naqshadeed oo leh cawaaqib la garanayo, ma aha dariiqa ka baxsashada.

Cawaaqibka si cod dheer loo sheegayaa waa in dhinaca kale uusan hadda arki karin ama shaandhayn karin ilo gaar ah. Diiwaannada waxay ku soo uruuraan cinwaanka tarjuma, siyaasadda marti-geliye kastaa way joogsataa inay shaqeyso, xallinta dhibaatooyinkuna waxay noqotaa raadin ku saabsan marti-geliyaha gudaha ee lahaa qulqul wakhti go'an. Haddii midkoodna aanu muhiim u ahayn taraafikada su'aasha, NAT waa hagaagsan yahay.

Marka gudbinta lafteedu tahay mala-awaalka qaldan

Haddii qaybta la wadaago ay ka gudubto bixiye, dhar beddelka la wadaago ama waddo kasta oo dhinac kale uu ka akhrin karo taraafikada, marinnada oo keliya ma aha jawaab buuxda. Tunnel u dhexeeya labada firewall wuxuu ku siinayaa qarsoodi iyo xaqiijinta lammaanaha, jadwalka marinnada ee gudihiisuna waa isla jadwalka aad ku qori lahayd gudbinta.

Go'aanso taas su'aasha kalsoonida ee qaybta koowaad, ma aha caado ah in VPN-yadu ammaan badan yihiin. Tunnel ku dul qayb hore u gaar ah wuxuu ku darayaa kharash hawleed iyo hal qaab guul-darro oo kale oo aan faa'iido lahayn, halka marinnada ku dul qayb aan la aaminin ay qarsoodiga ku beddelan tahay fududaan aadan awoodin. Qor shuruudaha saddexda ah kee ayaa horseeday doorashada, injineerka xigana uma baahna inuu mar kale ka doodao.