Baada ya IP ya seva kubadilika, kanuni ya SNAT bado inataja ya zamani

Seva ilihamia anwani mpya, wateja bado wanaunganishwa, na hakuna wanachotuma kinachofika kwenye intaneti. Mgawanyiko huo ndio kidokezo: soketi inayosikiliza na usambazaji wa bandari viliokoka uhamisho, kwa hiyo handaki inapanda, wakati tafsiri ya chanzo inayotumika kwa pakiti zinazosambazwa bado inataja anwani ambayo mwenyeji hana tena. Majibu ya pakiti hizo zilizoandikwa upya yanaenda kwa mashine ambayo haipo tena.

Kuunganisha na kusambaza kunashindikana mahali tofauti

Uanzishaji unategemea ncha ya mwisho ambayo wateja wanajua tayari: anwani ya umma, usambazaji wa bandari mbele yake na msikilizaji ndani. Trafiki inayosambazwa inategemea uamuzi wa pili unaofanywa baada ya pakiti kuingia handakini, wakati mwenyeji anaandika upya chanzo chake ili majibu yapate njia ya kurudi.

Mabadiliko ya anwani huvunja uamuzi wa pili tu, na ndiyo sababu dalili inasomwa kama "imeunganishwa lakini hakuna intaneti". Hii pia inaeleza kwa nini ukaguzi wa kawaida upande wa mteja unaonekana mzuri: kupeana mikono kunakamilika, mteja anapokea anwani, na hata ping kwa anwani ya handaki ya seva inaweza kujibu. Masaa hutumika kwa mteja kwa hitilafu inayoishi upande mwingine, kwa hiyo jedwali la kanuni ndilo mahali pa kwanza kuangalia.

Soma kanuni na vihesabu vyake kabla ya kuhariri

Orodhesha kanuni za tafsiri pamoja na vihesabu na linganisha chanzo kilichowekwa na anwani ambazo mwenyeji anazo kweli. Kanuni iliyoandikwa upya kwenda anwani iliyokufa kwa kawaida huonyesha trafiki kwenye njia ya kuingia, kwa sababu pakiti zinaifikia na kutafsiriwa, na hakuna kwenye njia ya kurudi.

sudo iptables -t nat -L POSTROUTING -n -v --line-numbers
ip -4 addr show

Kagua sehemu tatu ukiwa hapo: bwawa katika ulinganisho wa chanzo, kiolesura cha kutoka ikiwa kanuni inataja kimoja, na ubaguzi unaozuia trafiki kati ya handaki kuandikwa upya. Ubaguzi huo ni rahisi kupoteza wakati wa kuhariri, na kuupoteza hufanya trafiki kati ya wenza kuonekana inafanya kazi wakati majibu yake yanachukua njia ya ajabu.

Ikiwa vihesabu vimesimama kwenye sifuri, pakiti hazifikii kanuni hii na anwani si tatizo la sasa. Tafuta kanuni shindani mapema zaidi kwenye mnyororo, jambo ambalo hutokea wakati mtu anaongeza kibadala badala ya kuhariri asili. Linganisha namba za kanuni na matokeo uliyoyaandika dakika moja iliyopita. Mpangilio ni sehemu ya usanidi, si maelezo ya mapambo.

Badilisha chanzo, au acha kukitaja

Wakati mwenyeji ana anwani thabiti, badilisha kanuni mahali pake badala ya kuongeza nyingine. Ubadilishaji kwa namba ya kanuni huhifadhi mpangilio ambao mnyororo uliobaki unategemea.

sudo iptables -t nat -R POSTROUTING 1 -s 10.8.0.0/24 ! -d 10.8.0.0/24 -j SNAT --to-source 10.151.0.40

Wakati anwani inatolewa kwa njia ya kubadilika, usitaje chanzo chochote na uache kernel ichague ile ya sasa kutoka kiolesura cha kutoka. Aina hiyo inaokoka uhamisho unaofuata bila kuhariri, kwa gharama ya kuficha ni anwani gani ilitumika.

sudo iptables -t nat -R POSTROUTING 1 -s 10.8.0.0/24 ! -d 10.8.0.0/24 -o eth0 -j MASQUERADE

Thibitisha kuwa usambazaji wa IPv4 bado umewezeshwa kupitia usanidi unaosimamiwa, kisha fanya kanuni kuwa ya kudumu kwa utaratibu wa usambazaji wenyewe. Mabadiliko yaliyofanywa tu kwenye kernel inayofanya kazi hurudi kwenye kuwasha upya kunakofuata, kwa kawaida wakati wa dirisha la matengenezo ambalo hakuna anayehusisha na mabadiliko hayo.

Njia mbili za kufanya ubadilishaji vibaya

Kutafsiri bwawa kwenda anwani ya handaki ya seva badala ya anwani yake ya LAN hutuma majibu moja kwa moja kurudi handakini, ambako yanaelekezwa kwa mteja ambaye hakuyahitaji kamwe. Muunganisho unakwama kwa namna inayofanana na mzunguko wa uelekezaji, kwa sababu ndio mzunguko.

Kurundika tafsiri ya pili juu ya ile ya zamani ni kosa lingine. Kanuni ya kwanza inayolingana hushinda, kwa hiyo ingizo la zamani linaendelea kushughulikia pakiti hadi lifutwe, na vihesabu vya kanuni mpya vinabaki kwenye sifuri wakati kila mtu anailaumu tegemeo. Futa nakala kabla ya kuongeza kitu kipya. Kisha soma orodha mara moja zaidi na thibitisha kuwa tafsiri moja pekee inalingana na bwawa.

Ikiwa handaki pia hubeba IPv6, rudia ukaguzi wote kwenye rafu nyingine. Njia ya kawaida ya IPv6 bila tafsiri na bila kiambishi kilichoelekezwa hushindikana kwa utulivu sawa, na ni rahisi kuisahau kwa sababu kila kitu juu yake kinaonekana sawa.

Huduma zinazoingia zinahitaji tafsiri ya kinyume

Huduma kwenye mteja wa VPN ambayo lazima ifikiwe kutoka nje inahitaji tafsiri ya lengwa, si tafsiri ya chanzo: bandari ya umma inaandikwa upya kwenda anwani ya handaki ya mteja kabla ya kuingia. Njia ya usambazaji kisha inahitaji kanuni iliyo wazi inayoruhusu trafiki hiyo.

sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 10.9.8.2:8080

Kamwe usitafsiri bandari inayobeba handaki yenyewe, kwa sababu uandikaji upya huo huvunja muunganisho unaoifanya huduma ifikike. Weka bandari ya handaki nje kabisa ya kanuni za lengwa. Mwishoni thibitisha kutoka pande zote mbili: vihesabu kwenye kanuni mpya, kukamata kwa muda mfupi kwenye kifaa cha handaki, na ombi moja kwa anwani ndani ya handaki kabla ya kujaribu ile ya umma.