Elekeza kati ya LAN za faragha kabla ya kuongeza NAT nyingine

Firewall mbili za ndani, sehemu moja ya usafirishaji wa faragha, na ombi la kuruhusu baadhi ya wenyeji katika kila LAN kuzungumza na wale wa nyingine. Mwitikio wa kawaida ni kusimamisha VPN au kuongeza tabaka la pili la NAT, na mitikio yote miwili inagharimu zaidi ya kile ambacho tatizo linastahili. Uelekezaji wa kawaida unatosha wakati masharti matatu yanatimizwa: safu za anwani hazigongani, pande zote mbili zinaweza kurudisha trafiki kwenye LAN nyingine, na sehemu ya usafirishaji tayari inaaminika vya kutosha kwa data hiyo. Kagua hayo matatu kabla ya kubuni chochote, kwa sababu kila moja hubadilisha jibu.

Masharti matatu yanayoamua muundo

Sharti la kwanza ni nafasi ya anwani. Ikiwa LAN zote mbili zinatumia block ile ile ya RFC 1918, uelekezaji hauwezi kuzitofautisha na tafsiri inakuwa lazima badala ya hiari. La pili ni njia ya kurudi: njia kutoka A hadi B haina maana isipokuwa B pia inajua jinsi ya kufikia LAN ya A, na maarifa yasiyolingana ndiyo sababu ya kawaida zaidi ya muundo ulioelekezwa kutupa majibu kimya kimya.

La tatu ni uaminifu. Uelekezaji husogeza pakiti; hauzilindi. Sehemu ya usafirishaji ya faragha ndani ya jengo moja ni jambo tofauti na makabidhiano kwa mtoa huduma au kiungo kinachovuka uti wa mgongo wa chuo kinachoshirikiwa. Ikiwa sehemu haiaminiki, jibu ni handaki kati ya firewall mbili, na mpango wa uelekezaji hapa chini bado unatumika ndani yake.

Muundo rahisi hushinda tu wakati matatu yote yanaelekeza upande mmoja. Ikiwa moja yao itashindikana, rekebisha sharti hilo kwa uwazi badala ya kulifunika kwa tafsiri, kwa sababu NAT huficha hitilafu badala ya kuitatua.

Jenga mpango wa njia kwenye mtandao wa usafirishaji

Ipe kila firewall anwani kwenye sehemu inayoshirikiwa na ongeza njia moja mahususi kwa kila LAN ya mbali. Hakuna kingine katika usanidi uliopo kinachohitaji kuhamishwa, na hasa njia chaguo-msingi ya intaneti lazima ibaki mahali ilipo kwa usahihi. Kubadilisha njia chaguo-msingi na firewall ya mwenzake kungetuma kila lengwa lisilohusiana kupitia usafirishaji, jambo ambalo ni mabadiliko makubwa zaidi kuliko lile lililoombwa. Nyaraka za pfSense kuhusu uelekezaji tuli zinaeleza mtindo huo huo wa njia-pamoja-na-lango kwa jukwaa hilo, na udhibiti unaolingana upo kwenye firewall yoyote unayoiendesha kwa kweli.

Firewall A huhudumia 10.30.0.0/24 na firewall B huhudumia 10.40.0.0/24, huku anwani mbili za usafirishaji zikiwa kwenye 192.0.2.0/24. Kila mwenyeji wa LAN huhifadhi firewall yake ya ndani kama lango, kwa hivyo hali mpya pekee ni njia moja kwa kila upande. Kwenye firewall inayotegemea Linux mpango huo unaonekana hivi, na uenezaji lazima uwezeshwe, vinginevyo njia itatatuliwa wakati pakiti inatupwa.

sysctl -w net.ipv4.ip_forward=1
ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1
ip route get 10.40.0.15
traceroute -n 10.40.0.15

Tenganisha uchujaji na tafsiri

Uelekezaji na sera ni vidhibiti tofauti, na ni kwa cha pili ambapo miundo mingi iliyoelekezwa hushindwa kweli. Ruhusu vyanzo, lengwa na huduma mahususi kwenye mpaka wa kuingia ambao pakiti huvuka kweli, na kumbuka kwamba lebo ya kiolesura kama WAN ni jina, si tamko kuhusu uaminifu. Bandari ya usafirishaji inayobeba trafiki ya faragha inaweza bado kuwa na uzuiaji wa anwani za faragha umewashwa kwa chaguo-msingi.

Kisha angalia tafsiri ya kutoka kabla ya kuhitimisha kuwa hakuna NAT inayotokea. Kanuni za kiotomatiki za kutoka zinaweza kuandika upya trafiki ambayo haikukusudiwa kutafsiriwa kamwe, na hilo huharibu anwani za chanzo ambazo upande wa pili unazihitaji kwa sera na kumbukumbu zake. Thibitisha kuwa mitiririko iliyochaguliwa inahifadhi anwani zake za awali, na acha kanuni za tafsiri za intaneti zikiwa tupu kwa trafiki ambayo bado inazihitaji.

iptables -t nat -S POSTROUTING
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni eth1 -c 5 host 10.40.0.15

Wakati NAT ni jibu la uaminifu

Tafsiri hupata nafasi yake wakati safu za anwani zinagongana kweli na kuweka nambari upya hakupatikani, au wakati sera inahitaji upande mmoja uone anwani moja badala ya subneti. Katika hali hizo, upangaji wa makusudi wa moja-kwa-moja au uliowekewa kikomo cha bandari ni uamuzi wa muundo wenye matokeo yanayojulikana, si njia ya kukwepa.

Matokeo yanayopaswa kusemwa kwa sauti ni kwamba upande wa pili hauwezi tena kuona au kuchuja vyanzo binafsi. Kumbukumbu huanguka kwenye anwani inayotafsiri, sera kwa kila mwenyeji huacha kufanya kazi, na utatuzi wa matatizo unakuwa uwindaji wa mwenyeji gani wa ndani alikuwa na mtiririko kwa wakati fulani. Ikiwa hakuna lolote la haya linalojali kwa trafiki husika, NAT ni sawa.

Wakati usafirishaji wenyewe ni dhana isiyo sahihi

Ikiwa sehemu inayoshirikiwa inavuka mtoa huduma, kitambaa cha swichi kinachoshirikiwa au njia yoyote ambapo upande mwingine unaweza kusoma trafiki, uelekezaji pekee si jibu kamili. Handaki kati ya firewall mbili hukupa usiri na uthibitisho wa mwenzake, na jedwali la njia ndani yake ni jedwali lile lile ambalo ungeandika kwenye usafirishaji.

Amua hilo kutokana na swali la uaminifu katika sehemu ya kwanza, si kutokana na mazoea kwamba VPN zina usalama zaidi. Handaki juu ya sehemu ambayo tayari ni ya faragha huongeza gharama za uendeshaji na hali nyingine ya kushindikana bila faida, wakati uelekezaji juu ya sehemu isiyoaminika hubadilisha usiri kwa urahisi ambao huwezi kumudu. Andika ni sharti gani kati ya matatu liliongoza uchaguzi, na mhandisi anayefuata hatalazimika kuijadili tena.