Masquerade au uelekezaji wa sera: trafiki ya LAN kupitia lango la VPN

Kuweka LAN nzima nyuma ya handaki la VPN ni sehemu rahisi; kuamua jinsi upande wa mbali unavyowaona wateja hao si rahisi. Masquerade huandika upya kila chanzo cha LAN kwenye anwani ya handaki ya lango, kwa hiyo upande wa mbali hujibu mshirika mmoja. Uelekezaji wa sera huhifadhi anwani za awali na kuhitaji upande wa mbali ujue jinsi ya kuzifikia. Hakuna hata moja ni chaguo-msingi; chaguo hutokana na nani anamiliki upande wa mbali na kama utambulisho kwa kila kifaa ni muhimu.

Miundo miwili huahidi mambo tofauti

Masquerade hupunguza LAN hadi mwenyeji mmoja anayeonekana: lango. Mtandao wa mbali hujibu anwani hiyo moja, na lango hutafsiri majibu kurudi kwa mteja aliyeanzisha mtiririko. Upande wa mbali hakuna njia inayohitajika kwa viambishi vyako vya kibinafsi, ndiyo sababu muundo huu hustahimili mtoa huduma anayekataa kuvibeba. Lango pia huwa chanzo cha kila muunganisho, kwa hiyo upande wa mbali hauwezi kutofautisha wateja wawili.

Uelekezaji wa sera huhifadhi anwani ya kila mteja bila kuvunjika. Mtandao wa mbali huona chanzo halisi na unaweza kukirekodi, kutumia kanuni kwa kila mwenyeji au kutuma jibu moja kwa moja kwenye anwani hiyo. Uonekano huo ndio hoja yote, na unakuja na wajibu: upande wa mbali lazima uwe na njia ya kiambishi cha LAN inayorudi kupitia handaki. Panga njia hiyo kabla ya kuwezesha kanuni, kwa sababu handaki litainuka hata hivyo na yatakosekana majibu pekee.

Njia za kushindwa zinatofautiana kama ahadi. Kanuni ya masquerade isiyokuwepo huzalisha pakiti zinazotoka na vyanzo vya kibinafsi na hazirudi kamwe. Njia ya kurudi isiyokuwepo hutoa dalili hiyo hiyo katika uelekezaji wa sera, lakini marekebisho ni ya kipanga njia cha mbali, si ya lango.

Masquerade: mshirika mmoja upande wa mbali

Njia ya masquerade ina mpangilio ambao ni muhimu. Uenezaji lazima uwe umewashwa kabla kanuni yoyote ya NAT ifaidi, jedwali la kuchuja lazima liruhusu kupita katika pande zote mbili, na ndipo tu tafsiri inatumika kwenye kiolesura cha handaki.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Wateja bado wanahitaji njia ya kufika lango. Ama lango ni kipanga njia chao chaguo-msingi, au wanabeba njia maalum kwa kiambishi cha mbali; ikiwa kipanga njia tofauti kinabaki kuwa chaguo-msingi, kipanga njia hicho kinahitaji njia tuli kwa maeneo ya handaki, vinginevyo pakiti huenda kwenye hatua isiyo sahihi kabla lango halijaiona.

DNS ni uamuzi tofauti. Kitatuzi upande wa mbali hujibu tu ikiwa jibu lake linaweza kurudi kwa mteja. Chini ya masquerade swali linaonekana kutoka kwa lango, kwa hiyo njia ya kurudi ya kitatuzi tayari imetimizwa; chini ya uelekezaji wa sera kitatuzi kinahitaji njia ile ile ya kurudi kama huduma nyingine yoyote ya mbali.

Uelekezaji wa sera: hifadhi chanzo, ongeza njia ya kurudi

Uelekezaji wa sera huanza na jedwali na kanuni inayolichagua. Trafiki inayoingia kutoka kiolesura cha LAN hutumwa kwenye jedwali maalum, na jedwali hilo hubeba njia chaguo-msingi kupitia handaki. Jedwali kuu linabaki bila kuguswa, kwa hiyo trafiki inayoundwa na lango lenyewe inaweza kufuata njia nyingine.

ip rule add iif eth1 table vpn
ip route add default dev tun0 table vpn

Kisha upande wa mbali lazima uelekeze kiambishi cha LAN kurudi kupitia handaki. Hiyo ni usanidi kwenye kipanga njia cha mbali, si kwenye lango hili. Lango pia lazima likubali majibu yanayofika kwenye kiolesura tofauti na kile jedwali kuu lingetabiri; uchujaji legevu wa njia ya nyuma (rp_filter iliyowekwa kuwa 2) ndio marekebisho ya kawaida wakati hali kali inatupa pakiti hizo.

Wakati handaki mbili zinafanya kazi, weka lebo kwa kila mtiririko unapoingia na acha lebo ichague jedwali. Kanuni inayoangalia tu kiolesura cha pembejeo hutuma trafiki ya handaki zote mbili kwenye jedwali moja, kwa hiyo handaki la pili huiba mitiririko ya la kwanza. Jaribu lebo hiyo kwa muunganisho unaostahimili kuunganishwa upya, kwa sababu ndipo sera mchanganyiko hujidhihirisha.

Amua kwa umiliki na kwa kile upande wa mbali unarekodi

Ikiwa handaki linaishia kwa mtoa huduma, tumia masquerade. Opereta huyo hatasukuma masafa yako ya LAN ya kibinafsi, na hana sababu ya kutofautisha wateja binafsi nyuma ya lango lako. Mshirika mmoja anayeonekana ndio muundo pekee ambao sera yake inausaidia, kwa hiyo mpe hilo na uweke tafsiri kwenye ukingo wako. Mtoa huduma huona mshirika mmoja, ambayo ndiyo hasa sera yake inatarajia, na wateja wako hurithi utambulisho huo mmoja.

Ikiwa pande zote mbili ni zako na huduma za mbali zinafanya kazi kwa anwani za chanzo, uelekezaji wa sera unastahili njia yake ya ziada. Kanuni za ngome ya moto, ufikiaji kwa kila mtumiaji na kumbukumbu za ukaguzi zinaweza kisha kutofautisha wateja. Ikiwa upande wa mbali unahitaji kufikiwa pekee, masquerade ni rahisi zaidi na huondoa tabaka zima la makosa ya njia ya kurudi.

Miundo mseto ni ya kawaida: uelekezaji wa sera ndani ya mtandao wako mwenyewe, masquerade kwenye ukingo wa mtoa huduma. Muhimu ni kuandika ni hatua ipi inatafsiri na ni hatua ipi inaelekeza, kwa sababu kanuni ya NAT iliyoongezwa kwa bahati mbaya kwa mteja mmoja huficha chanzo kwa kila mteja katika mnyororo huo huo.

Thibitisha kutoka kwa mteja mmoja, kisha kutoka kwa mteja wa pili

Endesha jaribio mahali trafiki inapoanzia. Angalia njia inayotumiwa na mwenyeji, tazama pakiti ikionekana kwenye kiolesura cha handaki, na kagua conntrack kwa tafsiri. Mpangilio huo unathibitisha kuwa pakiti ilichukua njia iliyokusudiwa, si kwamba imefika mahali fulani tu.

Rudia jaribio baada ya kuunganishwa upya. Kanuni ya masquerade inayotaja kiolesura hustahimili anwani mpya ya handaki; kanuni inayotaja anwani ya zamani haistahimili. Kisha jaribu mwenyeji wa pili wa LAN, kwa sababu muundo unaofanya kazi kwenye mashine moja mara nyingi hutegemea njia ya mashine hiyo yenyewe, si sera ya lango.

Andika muundo uliochaguliwa, chanzo kilichotafsiriwa au kuhifadhiwa na mmiliki wa njia ya kurudi kwenye maelezo ya lango. Vinginevyo mtu anayefuata kuongeza mteja au handaki atakisia, na kukisia ndio njia ambayo usanidi wa LAN-hadi-VPN unaofanya kazi huwa wa sehemu.