SNAT, DNAT iyo Masquerade: muxuu xukun kasta oo NAT ee VPN sameeyaa

Dhig qabasho labada dhinac ee albaabka VPN oo hal qulqul wuxuu muujin karaa afar cinwaan oo kala duwan. NAT-ka isha wuxuu dib u qoraa halka xirmadu ay sheegato inay ka timaado; NAT-ka bartilmaameedka wuxuu dib u qoraa halka ay tagto. Masquerade maaha jiho saddexaad, waa xukun NAT isha ah oo cinwaankiisa ka qaata is-dhexgalka baxa halkii uu ka qaadan lahaa qiime go’an. Magacow kee saddexda ah aad runtii u baahan tahay oo inta badan tigidhada „VPN-ku wuu xumaaday“ waxay noqonayaan su’aal ku saabsan dariiqa soo noqodka.

Xukun kastaa muxuu dib u qoraa

NAT-ka isha, oo badanaa loo qoro SNAT, wuxuu beddelaa cinwaanka isha qulqulka marka uu ka baxo raawtar ama albaab. Adeegga qaata wuxuu ka jawaabaa cinwaanka la turjumay, sanduuqa turjumaana wuxuu beddelaadda ku celiyaa xaaladda uu u haystay xiriirkaas. Linux dhexdiisa xaaladdaas waxay ku nooshahay conntrack, taas ayaa conntrack -L u daabacaa lammaanaha asalka iyo jawaabta dhinac-dhinac.

NAT-ka bartilmaameedka, DNAT, wuxuu beddelaa bartilmaameedka beddelkiisa. Xirmad loo diray cinwaan dadweyne ku yaal UDP 51820 waxaa loo dib u qori karaa server WireGuard gudaha ah oo ku yaal 10.8.0.2:51820. Sidaas ayaa raawtar guri ama isku-dheellitir qaab daruuro ah uu u daabacaa dhageystaha VPN, taasna wax kama sheegayso waxa tunnel-ku qaadi karo ka dib.

Masquerade wuxuu ka tirsan yahay qoyska SNAT. Xukunku ma magacaabo cinwaan; wuxuu isticmaalaa cinwaanka is-dhexgalka baxa uu hayo marka xirmadu baxdo. Linux wuxuu siinayaa bartilmaameed u gaar ah, waana doorashada caadiga ah is-dhexgalka WAN ee cinwaankiisa ka hela DHCP ama PPPoE.

Halka khariidadda ay ku nooshahay ayaa go’aamisa guul-darrida

Qor lammaanaha xad kasta: tunnel-ka ka hor, gudihiisa iyo is-dhexgalka dadweynaha. Qabashada gudaha tunnel-ka si sharci ah ayay uga duwan tahay tan dibadda, qofkii is barbar dhigana isagoo aan ogayn halka turjumaaddu ka dhacdo wuxuu daba ordi doonaa martigeliyaha qaldan.

Taraafikga soo noqodku waa inuu maraa qalabka hayaa khariidadda. Haddii jawaabtu qaadato dariiq kale, xiriir sare labaad, dariiqa siyaasad ama bixiye aan waligiis maqal baaxaddaada gaarka ah, turjumaadda rogan ee xaaladda leh waligeed ma dhacdo oo macmiilku wuxuu arkaa taraafik hal jiho ah. Ku darista NAT isha oo dheeraad ah marar dhif ah ma hagaajiso dariiqa soo noqodka maqan; waxay qarin kartaa calaamadda hal qulqul isku marna jebin kartaa siyaasadda ku salaysan cinwaannada meel kasta oo kale.

Khaladka kale ee caadiga ah waa filashada in tunnel-ku abuurayo dariiq-qaadid. Macmiil gaar ah oo xirmadihiisu internetka u baxaan wuxuu u baahan yahay habayn baxid ansax ah: dariiq caadi ah, albaab horay u gudbiya iyo badanaa turjumaad isha oo cinwaan dadweyne ah. Sirteyn keligeed cinwaan gaar ah ma gaarsiiso.

Masquerade ama SNAT cad

Is barbar dhig labadooda waxa ay ballan qaadaan. Masquerade wuxuu dooranayaa cinwaanka baxa, SNAT cad wuxuu xajiyaa. Albaab leh cinwaan dadweyne deggan, xajintu waxay siinaysaa diiwaannada iyo liisaska oggolaanshaha shuraakada hal qiime la saadaalin karo. Xiriir WAN firfircoon, cinwaanka SNAT ee la xajiyay wuxuu noqdaa khalad marka kirada is beddelo, Masqueradena waxaa loo dhisay isla xaaladdaas.

Baaxaddu waxay muhiim u tahay sida doorashada. Xukunka Masquerade ee la mid ah xirmad kasta oo ka baxa albaabka, isagoo aan lahayn xad isha ama bartilmaameedka, wuxuu sidoo kale turjumaa taraafik aad doonayay inaad daayo isagoo aan wax yeellayn, oo ay ku jiraan taraafikga shabakadaha kale ee gaarka ah. Ku xaddid xukunka baaxadda macaamiisha, bartilmaameedka la doonayo iyo is-dhexgalka.

IPsec ku salaysan siyaasad ayaa tani ugu adag qaniinto. Hagaha gudbinta strongSwan wuxuu dhex maraa shididda gudbinta IP iyo ku darista xukun SNAT isha macaamiisha, isla dukumeentiguna wuxuu daboolaa ka-saarista taraafikka ay tahay inuu hayo cinwaankiisa asalka ah. Turjun isha ka hor inta siyaasadda ammaanku la mid noqoto, tunnel-ku wuu kori karaa iyadoo taraafikku weli dhacayo, sababtoo ah xirmadu mar dambe uma eka doorashada la wada hadlay.

Kaloo go’aanso waxa dhinaca fog ay tahay inuu arko. Turjumaad ka dib adeeggu wuxuu arkaa albaabka, ma arko macmiilka gaar ah. Taasi waxay fududaysaa dariiqa soo noqodka isla markaana hoos u dhigta diiwaannada oo burisa liisaska oggolaanshaha macmiil kasta. Haddii ilaalinta cinwaannada macaamiisha ay muhiim tahay, qorshee dariiq soo noqod oo dariiqaysan halkii aad ka qarin lahayd si imtixaan u gudbo.

Akhriista xukunnada albaabka Linux

Albaabka gelitaanka fog oo macaamiishiisu ku yaalliin 10.8.0.0/24 iyo is-dhexgal WAN oo la yiraahdo eth0 wuxuu u baahan yahay gudbin shidan iyo siyaasad shaandhayn oo u oggolaata qulqulka, ka dib xukun kasta oo NAT ah wuu caawin karaa. Nuqulka iptables wuxuu labada jiho ku hayaa shaxda nat:

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 51820 \
  -j DNAT --to-destination 10.8.0.2:51820

Qaabka nftables wuxuu isticmaalaa isla labada qabsasho oo leh is-dhexgal magac leh iyo silsilad cad:

nft add rule ip nat postrouting ip saddr 10.8.0.0/24 oifname "eth0" masquerade
nft add rule ip nat prerouting iifname "eth0" udp dport 51820 dnat to 10.8.0.2:51820

Labada qayboodba waxay u malaynayaan in silsiladda shaandhaynta ay hore u aqbashay qulqulka la gudbiyay. NAT maaha xukun oggolaansho, xirmad si sax ah loo turjumayna weli waa la tuuri karaa hal shax ka dib. Xaqiiji khariidadda nool conntrack -L, xaqiiji waxa la raray nft list ruleset ama iptables-save -t nat, ka dib qabasho labada is-dhexgal si aad u aragto cinwaanku runtii is beddelayo.

Hababka guul-darrida ee u eg xukun xun

Taraafikga biin-madaxa ayaa caadiga ah. Macmiil gudaha ah oo server gudaha ah ku gaadha cinwaanka dadweynaha ee serverka wuxuu u baahan yahay DNAT jidka soo gelitaanka iyo turjumaad isha jidka dib u baxa, haddii kale serverku si toos ah ayuu ugu jawaabaa macmiilka jawaabtana waa la diidaa. Xalku waa xukun labaad oo cidhiidhi ah oo loogu talagalay xaaladdaas gudaha-ilaa-dadweyne, maaha xukun Masquerade ballaaran oo wax kasta.

Turjumaadda labanlaabka ah waa tan aamusan. Macmiil hore uga dambeeya NAT heerka shirkadda isgaarsiinta wuxuu albaabkaaga u yimaadaa cinwaan aadan dib u dariiqayn karin, sidaas darteed mar kale ayaad turjumaysaa. Way shaqaysaa, laakiin diiwaannadu hadda waxay qaadaan laba bood oo cinwaan gaar ah iyo baaritaan kasta wuxuu u baahan yahay labada khariidad. IPsec ku salaysan siyaasad wuxuu ku darayaa mar saddexaad: turjun ka hor inta siyaasaddu la mid noqoto oo waxaad helaysaa SA kor u kaca iyadoo aan taraafik gudbin, taas oo loo akhriyaa sidii khalad derbi-dab ah ee aan ahayn NAT.

Kadib waxaa jira imtixaanka gudba iyo baahinta guuldarraysta. Gacan ku shaqaynta amarka NAT waxay caddaynaysaa farsamada, maaha qaabaynta. Xukun lagu daray waqtiga shaqada wuu libdhi doonaa dib u kicinta ama dhacdada is-dhexgalka xigta, xukunka Masquerade ee ku xidhan is-dhexgal beddela lambarkiisa wuxuu si aamusan u beddeli karaa cinwaanka dhinaca fog arko. Xukunka geli qaabaynta derbi-dabka iska leh oo mar kale tijaabi ka dib dib u xiriir.

Liiska hubinta ka hor inta aadan kaydin xukunka

Marka hore magacow jihada: isha, bartilmaameedka ama labadaba. Kadib go’aanso cidda tahay inay hayso xaaladda — albaabka, raawtarka sare ama lammaanaha IPsec — oo xaqiiji in dariiqa jawaabtu uu ka soo noqdo isaga. Ku xaddid xukunka baaxadda macaamiisha, bartilmaameedka iyo is-dhexgalka aad runtii u jeedo, oo go’aanso ka hor in dhinaca fog uu arko albaabka ama cinwaanka asalka ah ee macmiilka.

Ka tijaabi macmiil, maaha albaabka. Browser ku yaal albaabka laftiisa wuxuu si buuxda uga gudbi karaa xukunka turjumaadda macmiilka, sidaas darteed bogga halkaas ka shaqeeya waxba kama caddaynayo tunnel-ka. Dir hal codsi oo ka soo jeeda macmiilka, fiiri tiriyeyaasha iyo shaxda conntrack, ku celi ka dib dib u xiriirka tunnel-ka iyo isbeddelka cinwaanka WAN haddii midkoodna suurtogal yahay halka aad ka shaqayso.