Laba macmiil VPN, laba cinwaan dadweyne: isku habee SNAT

Laba macmiil VPN ayaa ka bixi kara laba cinwaan IPv4 dadweyne oo kala duwan, qaanuunka taas sameeyana wuu ka gaaban yahay sida dadka badankood filaan. Waxa shaqeeya ma aha naxwaha iptables, laakiin xaaladda xirmada marka ay gaarto silsiladda bixista: cinwaanka isha halkaas weli waa inuu kala gartaa macmiillada. Haddii masquerade hore ay horey ugu biirtay labadoodaba hal cinwaan, ma jiro qaanuun macmiil kasta oo soo celin kara farqigaas. Marka hore xalliso su'aashaas, ka dib qor tarjumaadda.

Aqoonsi kee ayaa ku hadha ilaa gateway-ga

Qaanuunku wuxuu la mid yahay cinwaanka isha xirmada, ma aha magaca isticmaalaha VPN iyo ma aha magaca ay bandhigto barnaamijka macmiilka. Wax kasta oo xirmada hore u tarjuma jidka ayaa go'aamiya waxa qaanuunkaagu weli arki karo. socodsii shaxda nat si kala horumar ah oo hel barta ay isha weli u gaar tahay macmiil kasta.

iptables -t nat -S POSTROUTING

Akhri liiskaas kor ilaa hoos. Qaanuun masquerade ah oo u dhow furka ayaa dib u qora isha socodka kasta oo u dhigma, gelitaanka macmiil kasta oo la dhigo ka dibna waxay la mid noqdaan cinwaan aan hadda jirin. Marka laba qalab LAN ay wadaagaan hal tunnel oo ay u yimaadaan sidii hal cinwaan gudaha ah, naqshaddu waa in ay is beddeshaa ka hor firewall-ka: ilaali xaddiga ishooda oo kala duwan ama mid kasta sii cinwaankiisa gudaha.

Ku xidh qoondaynta cinwaanka gudaha macmiilka la xaqiijiyay. Cinwaankaas siinta qalab kale waxay sidoo kale gudbisaa siyaasadda bixista, tarjumaadda ishana kaliya ma aha caddayn aqoonsi.

Tarjumaaddu ma abuuri karto cinwaan

Cinwaan kasta oo dadweyne waa in loo qoondeeyaa ama loo jiheeyaa barta bixista, jawaabahuna waa inay helaan jidka dib ugu soo noqoshada. Qaanuunka ka diraya taraafikada cinwaan aan qofna dib u jiheyn waa laga tuuraa dhinaca fog ama waxaa looga jawaabaa martigeliyaha aan waligiis codsan. Tusaalaha bixiyaha daruuraha ayaa badanaa cinwaankiisa dadweyne loo tarjumaa cinwaan interface gaar ah ka hor inta xirmadu bixin, sidaas darteed isha SNAT waa inay tahay cinwaanka bixiyuhu aqbali doono, ma aha qiimaha console-ku muujinayo. Akhri qaabka cinwaannada bixiyaha oo raac halkii aad ka nuqul lahayd qiimaha dadweynaha xirmo kasta.

Ficil ahaan tan macneheedu waa in la hubiyo prefix-ka la jiheeyay console-ka bixiyaha ka hor inta aadan taaban firewall-ka, iyo in la isticmaalo cinwaanka interface-ka gaarka ah isha tarjumaadda marka khariidadda ay tahay mid-ka-mid. Cinwaannada lagu isticmaalay tusaalooyinka hoose waxay ka yimaadeen xaddiga dokumentiga, marka marka hore waxa la beddelo waa qoraalka cinwaanka laftiisa.

Geli ka hor masquerade guud

Xaqiiji interface-ka bixista iyo silsiladda hadda ka hor inta aadan wax ku darin. Tan hore waxay go'aamisaa xirmooyinka qaanuunku la mid noqon karo, tan labaadna waxay muujinaysaa waxa horey u taagan hortiisa.

ip -4 route show default
iptables -t nat -L POSTROUTING -n -v --line-numbers

Amarka hore wuxuu magacaabaa interface-ka xirmada internetka ay dhab ahaan ka baxdo. Tan labaad waxay daabacdaa silsiladda lambarrada safka. Gelitaanka masquerade guud waa safka aad ka sarreyso.

iptables -t nat -I POSTROUTING 1 -s 10.88.4.20/32 -o ens3 -j SNAT --to-source 198.51.100.77
iptables -t nat -I POSTROUTING 1 -s 10.88.4.21/32 -o ens3 -j SNAT --to-source 198.51.100.78

Labada qaanuun ee kore mid kastaa wuxuu la mid yahay hal cinwaan gudaha, waxay xaddidaan iswaafajinta interface-ka bixista oo si cad u dhigaan isha. Geli halkii aad ku dari lahayd: booska 1 waxaa lagu qiimeeyaa ka hor safka masquerade. Nidaamka u dhexeeya labada ma muhiim ah sababtoo ah ishooda way kala duwan yihiin. Ku beddel ens3 waxa amarka marinka soo sheegay, oo ka fogee maareeyayaasha kale ee firewall isla qabatooyinkaas, sababtoo ah laba qalab oo hal shax qora waa sababta caadiga ah ee qaanuun sax ah uusan saameyn lahayn.

Ku caddee isha socod cusub

Stateful NAT wuxuu xidhaa tarjumaad marka socodku bilaabmo oo dib u isticmaalaa xirmooyinka dambe, sidaas darteed fadhiga la furay ka hor isbeddelka wuxuu hayaa ishiisii hore ka dib isbeddelka. Kaliya xiriir cusub oo la bilaabay ayaa caddeeya qaanuunka.

conntrack -L -s 10.88.4.20 -p tcp --dport 443

Akhri jihada jawaabta gelitaankaas: meesha loo socdo waa cinwaanka dhinaca fog u arko isha. La barbar dhig cinwaanka dadweyne ee aad u jeedsatay, oo u qaado gelitaanka qaadanaya cinwaanka hore caddayn socod si aad u hore u bilaabmay, ma aha qaanuun jaban. Weydii macmiilka inuu furo xiriir cusub, ka dib ku celi su'aasha. Nadiifinta shaxda raadraaca oo dhan si loo qasbo imtixaanka waxay carqaladeynaa fadhi kasta oo kale oo gateway-ga ku yaal.

Tarjumaaddu weli ma doorato marinka, ma dhaqso socodka shaandhada dhexdeeda mana daabacdo adeeg soo gal ah. Marin khaldan iyo qaanuun fasax maqan ayaa sii guuldarraysta ka dib qaanuun SNAT qumman. Hubi sidoo kale IPv6 iyo waddo kasta oo bixitaan labaad, ka dib qor lammaanaha gudaha-ilaa-dadweyne dokumentiga firewall-ka si isbeddelka xiga uu ka bilaabmo khariidadda halkii uu ka bilaaban lahaa qoraalka qaanuunka.