Masquerade ose rrugëtim sipas politikave: trafiku LAN përmes një portali VPN

Të vendosësh një LAN të tërë pas një tuneli VPN është pjesa e lehtë; të vendosësh se si ana e largët i sheh ata klientë nuk është. Masquerade rishkruan çdo burim të LAN-it në adresën e tunelit të portës, kështu që skaji i largët i përgjigjet një partneri të vetëm. Rrugëtimi sipas politikave i mban adresat origjinale dhe kërkon që ana e largët të dijë si t’i arrijë ato. Asnjëra nuk është e parazgjedhur; zgjedhja vjen nga kush zotëron anën e largët dhe nëse identiteti për pajisje ka rëndësi.

Dy modelet premtojnë gjëra të ndryshme

Masquerade e zvogëlon LAN-in në një strehues të vetëm të dukshëm: portalin. Rrjeti i largët i përgjigjet asaj adrese të vetme, dhe portali i përkthen përgjigjet përsëri te klienti që nisi rrjedhën. Në anën e largët nuk nevojitet asnjë rrugë drejt prefikseve tuaja private, prandaj ky model mbijeton me një ofrues që refuzon t’i bartë ato. Portali bëhet gjithashtu burimi i çdo lidhjeje, kështu që ana e largët nuk mund të dallojë dy klientë.

Rrugëtimi sipas politikave e mban të paprekur adresën e çdo klienti. Rrjeti i largët sheh burimin e vërtetë dhe mund ta regjistrojë atë, të zbatojë një rregull për çdo strehues ose ta dërgojë përgjigjen drejt e në atë adresë. Kjo dukshmëri është e gjithë çështja, dhe vjen me një detyrim: ana e largët duhet të ketë një rrugë për prefiksin e LAN-it që kthehet përmes tunelit. Planifikoje atë rrugë përpara se të aktivizosh rregullin, sepse tuneli do të ngrihet gjithsesi dhe do të mungojnë vetëm përgjigjet.

Mënyrat e dështimit ndryshojnë aq sa premtimet. Një rregull masquerade që mungon prodhon paketa që dalin me burime private dhe nuk kthehen kurrë. Një rrugë kthimi që mungon jep të njëjtin simptom në rrugëtimin sipas politikave, por rregullimi i takon ruterit të largët dhe jo portalit.

Masquerade: një partner në anën e largët

Rruga e masquerade ka një rend që ka rëndësi. Përcjellja duhet të jetë e aktivizuar përpara se çdo rregull NAT të bëjë dobi, tabela e filtrimit duhet të lejojë kalimin në të dy drejtimet, dhe vetëm atëherë përkthimi zbatohet në ndërfaqen e tunelit.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Klientët ende kanë nevojë për një rrugë drejt portalit. Ose portali është ruteri i tyre i parazgjedhur, ose ata mbajnë një rrugë specifike për prefiksin e largët; nëse një ruter i veçantë mbetet i parazgjedhur, ai ruter ka nevojë për një rrugë statike për destinacionet e tunelit, përndryshe paketa shkon në hopin e gabuar përpara se portali ta shohë.

DNS është një vendim i veçantë. Një zgjidhës në anën e largët përgjigjet vetëm nëse përgjigjja e tij mund të udhëtojë përsëri te klienti. Nën masquerade kërkesa duket se vjen nga portali, kështu që rruga e kthimit e zgjidhësit është plotësuar tashmë; nën rrugëtimin sipas politikave zgjidhësi ka nevojë për të njëjtën rrugë kthimi si çdo shërbim tjetër i largët.

Rrugëtim sipas politikave: ruaj burimin, shto një rrugë kthimi

Rrugëtimi sipas politikave nis me një tabelë dhe një rregull që e zgjedh atë. Trafiku që hyn nga ndërfaqja e LAN-it dërgohet në një tabelë të dedikuar, dhe ajo tabelë mban një rrugë të parazgjedhur përmes tunelit. Tabela kryesore mbetet e paprekur, kështu që trafiku i krijuar nga vetë portali mund të ndjekë një rrugë tjetër.

ip rule add iif eth1 table vpn
ip route add default dev tun0 table vpn

Pastaj ana e largët duhet ta rrugëtojë prefiksin e LAN-it përsëri përmes tunelit. Ky është një konfigurim në ruterin e largët, jo në këtë portal. Portali duhet të pranojë edhe përgjigje që vijnë në një ndërfaqe të ndryshme nga ajo që do të parashikonte tabela kryesore; filtrimi i lirshëm i rrugës së kundërt (rp_filter i vendosur në 2) është rregullimi i zakonshëm kur modaliteti i rreptë i hedh poshtë ato paketa.

Kur janë aktivë dy tunele, etiketo çdo rrjedhë në hyrje dhe lëre etiketën të zgjedhë tabelën. Një rregull që shikon vetëm ndërfaqen hyrëse i dërgon trafikun e të dy tuneleve në të njëjtën tabelë, kështu që tuneli i dytë ia vjedh rrjedhat të parit. Testoje atë etiketë me një lidhje që i mbijeton një rilidhjeje, sepse atëherë shfaqet një politikë e përzier.

Vendos sipas pronësisë dhe sipas asaj që regjistron ana e largët

Nëse tuneli përfundon te një ofrues, përdor masquerade. Ai operator nuk do t’i rrugëtojë intervalet e tua private të LAN-it dhe nuk ka arsye t’i dallojë klientët individualë pas portalit tënd. Një partner i dukshëm është modeli i vetëm që mbështet politika e tij, prandaj jepi atë dhe mbaje përkthimin në skajin tënd. Ofruesi sheh një partner, që është pikërisht ajo që pret politika e tij, dhe klientët e tu trashëgojnë atë identitet të vetëm.

Nëse të dy skajet janë të tutë dhe shërbimet e largëta veprojnë mbi adresat e burimit, rrugëtimi sipas politikave e meriton rrugën e tij shtesë. Rregullat e murit të zjarrit, aksesi për çdo përdorues dhe regjistrat e auditimit mund t’i dallojnë atëherë klientët. Nëse ana e largët ka nevojë vetëm për arritshmëri, masquerade është më i thjeshtë dhe heq një klasë të tërë gabimesh të rrugës së kthimit.

Modelet hibride janë normale: rrugëtim sipas politikave brenda rrjetit tënd, masquerade në skajin e ofruesit. E rëndësishme është të shkruash cili hop përkthen dhe cili hop rrugëton, sepse një rregull NAT i shtuar aksidentalisht për një klient e fsheh burimin për çdo klient në të njëjtin zinxhir.

Verifiko nga një klient, pastaj nga një klient i dytë

Kryeje testin aty ku nis trafiku. Kontrollo rrugën që përdor strehuesi, vështro paketën që shfaqet në ndërfaqen e tunelit dhe shqyrto conntrack për përkthimin. Ai sekuencë dëshmon se paketa ndoqi rrugën e synuar, jo se thjesht mbërriti diku.

Përsërite testin pas një rilidhjeje. Një rregull masquerade që emërton ndërfaqen i mbijeton një adrese të re tuneli; një rregull që emërton adresën e vjetër nuk i mbijeton. Pastaj testoni një strehues të dytë të LAN-it, sepse një model që funksionon në një makinë shpesh varet nga rruga e vetë asaj makine dhe jo nga politika e portalit.

Shkruaji modelin e zgjedhur, burimin e përkthyer ose të ruajtur dhe pronarin e rrugës së kthimit në shënimet e portalit. Përndryshe personi tjetër që shton një klient ose një tunel do të hamendësojë, dhe hamendësimi është mënyra se si një konfigurim LAN-në-VPN që funksionon bëhet i pjesshëm.