Trafiki ya mwelekeo mmoja baada ya kuzima SNAT ya subneti ya Tailscale

Zima NAT ya chanzo kwenye kipanga njia cha subneti ya Tailscale na handaki linaendelea kufanya kazi wakati miunganisho kupitia humo inasimama. Maombi yanafika mahali panakokwenda yakiwa na anwani ya overlay ya mteja wa mbali mwenyewe, ambayo ndiyo madhumuni ya mabadiliko, na majibu sasa yanahitaji njia ambayo LAN haikuwahi kulazimika kuijua. Bila njia hiyo pakiti zinashuka, majibu yanatoka kupitia lango la kawaida, na hitilafu inaonekana kama tatizo la firewall ambalo hakuna kanuni ya firewall inayoeleza. Handaki ni zuri; sehemu ya kurudi haipo.

SNAT ilificha nini

SNAT ikiwa imewashwa, kipanga njia huandika upya anwani ya chanzo kuwa anwani yake ya LAN kabla ya kupeleka kwenye subneti, kwa hivyo mahali panakokwenda hujibu mwenyeji ambao tayari unajua jinsi ya kumfikia na hakuna kitu kingine kinachohitaji kusanidiwa. Kuizima kunahifadhi chanzo cha awali, na mahali panakokwenda huona anwani ndani ya kiwango cha overlay badala ya jirani kwenye waya wake. Anwani hiyo ni halisi na inaweza kupitishwa kote kwenye tailnet, lakini haipatikani kutoka LAN kupitia lango la chaguo-msingi. Swichi iliyoandikwa ni --snat-subnet-routes=false, inayotumika kwenye kipanga njia cha subneti cha Linux chenyewe.

Hii ni mipangilio ya kudumu na si swichi ya kila pakiti, kwa hivyo njia ya kurudi lazima iwepo kwa kila mtandao wa mahali panakokwenda unaohudumiwa na kipanga njia hicho. Hilo ndilo linalofanya mabadiliko kuwa uamuzi wa usambazaji na si kisanduku cha kuteua. Kila kitu kinachohudumiwa na kipanga njia hicho hurithi sharti hilo wakati huo huo.

Njia ya kurudi inaweza kuwa wapi

Maeneo matatu ni ya kawaida, na yanatofautiana kwa ufikiaji, si kwa usahihi. Njia tuli kwenye mwenyeji wa mahali panakokwenda ndiyo iliyo moja kwa moja zaidi na isiyoweza kupanuliwa zaidi, kwa kuwa kila kifaa kinahitaji nakala yake. Jedwali la njia katika VPC au kwenye kipanga njia cha eneo hufunika mtandao mzima mara moja, na chaguo la DHCP linalobeba njia tuli zisizo na daraja hufikia wateja kiotomatiki lakini hushindwa kimya kwenye vifaa vinavyolipuuza.

ip route add 100.64.0.0/10 via 192.168.1.10
ip route get 100.64.0.5

Uchague eneo lolote, hatua inayofuata ni anwani ya LAN ya kipanga njia na kamwe si anwani yake ya tailnet. Mwenyeji wa LAN hawezi kufikia overlay hadi awe na njia hii, kwa hivyo hatua inayofuata ndani ya overlay ni mviringo na haitumi pakiti popote. Hitilafu hiyo moja inaeleza usanidi mwingi unaoonekana sahihi na bado unashindwa, na inastahimili kila ukaguzi unaosoma jedwali la kipanga njia chenyewe pekee. Andika ni eneo gani ulitumia, vinginevyo mtu anayefuata atajaribu lile lisilo sahihi.

Kusoma hitilafu kama trafiki ya mwelekeo mmoja

Dalili ni rahisi kutambua kuliko sababu: huduma hujibu kwenye kipanga njia chenyewe na hukaa kimya kutoka kwa mteja wa mbali. Ukamataji mahali panakokwenda huonyesha maombi yakifika na majibu yakitoka, jambo linaloonekana kama mafanikio hadi utambue majibu hayo yanaelekea wapi. Yanaelekea lango la chaguo-msingi, ikimaanisha sehemu ya kuingia ilifanya kazi na sehemu ya kurudi haikufanya.

Kamata kwenye kipanga njia badala yake, kwa sababu huona mielekeo yote miwili ya mabadilishano moja na huonyesha kama jibu liliwahi kufika. Ikiwa jibu linaonekana mahali panakokwenda lakini kamwe halionekani kwenye kipanga njia, njia haipo au si sahihi upande wa mahali panakokwenda. Ikiwa linaonekana kwenye kipanga njia na kusimama hapo, tatizo liko mbele zaidi na ni la uchunguzi mwingine.

sudo tcpdump -ni any host 100.64.0.5
ip route get 100.64.0.5

Je, anwani halisi inastahili njia

Kubaki na SNAT ndiyo jibu rahisi zaidi kila mtandao wa mahali panakokwenda hauwezi kusanidiwa upya, na gharama ni kwamba kila mteja anaonekana kama kipanga njia kwenye kumbukumbu na sera za mahali panakokwenda. Kuizima kunahesabiwa haki wakati programu inahitaji anwani halisi ya chanzo au sera ya mtandao inapaswa kutofautisha wateja wanaoshiriki kipanga njia. Sababu zote mbili ni halali na hakuna moja ni bure. Faida lazima istahili kutunza njia kwenye kila mtandao wa mahali panakokwenda, pamoja na mapitio ya firewall yaliyoelezwa hapa chini.

Kwa LAN moja ndogo biashara kawaida hulipa, wakati kwa wingi wa vifaa visivyoweza kuchukua njia tuli kawaida hailipi. Rekodi uamuzi na sababu kando ya usanidi wa kipanga njia, ili msimamizi anayefuata ajue tabia gani ni ya makusudi. Chaguo-msingi ambalo hakuna aliyeliandika haliwezi kutofautishwa na uangalifu mdogo.

Firewall, uwekaji kumbukumbu na jukumu maradufu

Kila kanuni iliyolingana na anwani ya LAN ya kipanga njia sasa inalingana na chanzo tofauti, ikiwa ni pamoja na kanuni za kuruhusu na sehemu yoyote ya kumbukumbu iliyorekodi kipanga njia kama mteja. Soma kanuni hizo kabla ya jaribio la kwanza na si baada ya kushindwa mara ya kwanza, kwa sababu kanuni inayoruhusu anwani ya kipanga njia pekee huzuia chanzo kipya kabisa. Punguza uingizwaji kwa wateja na bandari zinazouhitaji, kisha thibitisha haikubali tailnet yote kimya.

sudo nft list ruleset | grep -n '100\.64'
sudo iptables-save | grep -n '100\.64'

Nodi moja inayohudumu kama nodi ya kutoka na kipanga njia cha subneti kwa wakati mmoja ni mchanganyiko ulioandikwa ambao unaweza kuangusha trafiki ya juu mara tu SNAT ya subneti inapozimwa. Kutenganisha majukumu hayo kwenye nodi tofauti kunaondoa tahadhari hiyo na kunapa kila njia na sera ya firewall mmiliki mmoja. Ikiwa majukumu yanapaswa kubaki pamoja, tarajia tabia hiyo na uijaribu kabla ya kumlaumu mteja. Weka njia, mipangilio ya swichi na ugawaji wa majukumu katika noti moja, kwa sababu husomwa pamoja wakati muunganisho unaofuata unashindwa.