Uelekezaji wa chanzo kwa mabwawa mawili ya VPN: kile kanuni yako inachokosa

Mabwawa mawili ya wateja, lango moja na mpango unaonekana rahisi: kanuni moja inatuma bwawa la kwanza kwa kiungo cha juu cha haraka, nyingine inatuma bwawa la pili kupitia handaki la mshirika. Kisha kanuni zipo mahali na bwawa la pili bado linatoka kwa njia ya chaguo-msingi. Kanuni haijavunjika. Chanzo cha pakiti si kile ambacho mwandishi alitarajia wakati wa utafutaji, kwa sababu tafsiri na utafutaji hufanyika katika sehemu tofauti za safari ya pakiti moja, na mpangilio ni kinyume cha mchoro wa kiakili ambao wengi huchora.

Utafutaji hufanyika kabla chanzo hakijaandikwa upya

Kwa pakiti inayopitishwa kutoka mteja wa VPN, kernel hufuata mfuatano maalum. Inafika kwenye kiolesura cha handaki, hupitia prerouting ambako conntrack na DNAT zinaishi, kisha uamuzi wa uelekezaji hufanywa, kisha upitishaji, kisha postrouting ambako SNAT hutumika mwisho. Kanuni ya umbo from huzingatiwa wakati wa uamuzi huo wa uelekezaji, ikimaanisha inaona anwani asilia ya mteja, si ile iliyotafsiriwa.

Kwa hivyo kuongeza kanuni ya masquerade hakubadilishi sera ipi inayolingana na mtiririko wa kutoka. Kinachobadilika ni kile kinachoona mwisho wa mbali, na hivyo njia ipi ya kurudi ipo. Haya ni matokeo mawili tofauti, na mapitio ya mabadiliko huyachanganya kila mara. Yatenganishe na muundo huwa wazi ndani ya dakika moja.

Ni katika mwelekeo wa jibu ambapo anwani iliyotafsiriwa inaonekana katika kanuni. Pakiti inayorudi kwenye lango inaelekezwa kwa anwani iliyotafsiriwa, na ikiwa una kanuni za sera zinazotegemea lengwa au kiolesura ilikotokea, hiyo ndiyo thamani utakayolinganisha. Muunganisho mmoja, chanzo tofauti cha ukweli katika kila mwelekeo.

Kwa hivyo mabwawa mawili yenye vyanzo tofauti kwa kweli yanahitaji jedwali tofauti, na muundo ni sahihi. Kinachokataliwa na jedwali hapo juu ni njia ya mkato ya kutafuta hitilafu kwa kuangalia kile tovuti ya mbali ilipokea na kukisia kanuni kutokana na hilo.

Jaribio kutoka kwenye lango si jaribio la bwawa

Trafiki ambayo lango lenyewe huzalisha haipiti kamwe prerouting, kwa sababu haikufika kwenye kiolesura chochote. Inaelekezwa katika njia ya utoaji, kwa anwani ya lango lenyewe kama chanzo, na kanuni from inayotegemea wigo wa wateja haitalingana. Kila tikiti katika eneo hili inayosema inafanya kazi kutoka sanduku lakini si kutoka kwa mteja ni kurudia ukweli huo huo.

Iga mteja badala ya kukisia. Utafutaji wa uelekezaji unaweza kuulizwa moja kwa moja, ukipewa chanzo na kiolesura cha kuingia:

ip route get 198.51.100.9 from 172.31.7.42 iif tun0
ip route get 198.51.100.9 from 172.31.8.42 iif tun0
ip route show table 201

Iendeshe mara moja kwa kila bwawa. Ikiwa amri zote mbili zitarudisha kiolesura kimoja, kanuni hazitenganishi mabwawa, na sababu ni ama kanuni inayokosekana au kanuni yenye kipaumbele cha juu inayolingana na zote mbili. Ikiwa zitarudisha violesura tofauti lakini mteja bado anashindwa, hitilafu iko baada ya utafutaji na unaweza kuacha kuangalia kanuni.

Kipaumbele, si nafasi katika faili

Kanuni hutathminiwa kwa mpangilio wa kipaumbele kinachopanda, na namba ndiyo muhimu, si mpangilio ulioandika. Jedwali la local liko kwenye kipaumbele 0, jedwali la main kwenye 32766 na kanuni ya chaguo-msingi kwenye 32767, ndiyo sababu kanuni iliyoongezwa kwa kipaumbele cha chaguo-msingi huangukia karibu na mwisho wa orodha na kushindwa na karibu kila kitu.

ip rule show
ip rule add from 172.31.8.0/24 lookup 201 priority 1000
ip -4 route show table 201

Kipaumbele kilicho wazi hufanya mpangilio unaokusudiwa uonekane katika faili na katika mapitio. Pia huzuia nyongeza ya baadaye kuruka kwa utulivu mbele ya kanuni iliyopo, ambayo ni sababu ya kawaida zaidi ya sera inayofanya kazi kuacha kufanya kazi baada ya mabadiliko yasiyohusiana.

Kanuni inayolingana inayoelekeza kwenye jedwali lisilokamilika ni mtego mwingine. Ikiwa jedwali 201 lina njia ya chaguo-msingi lakini hakuna njia ya kufikia lengwa, pakiti hutupwa au hutumwa mahali pasipofaa, na kanuni inaonekana sahihi kabisa ikiwa peke yake. Soma jedwali, si kanuni tu. Kanuni ni kielekezi, na jedwali tupu ni kielekezi cha kuelekea hakuna kitu.

Njia ya kurudi bado lazima iwepo

Sera ya chanzo huchagua njia ya kutoka. Haijengi njia ya kurudi. Ikiwa bwawa la pili linatoka kupitia handaki la mshirika, mshirika lazima ajue jinsi ya kufikia 172.31.8.0/24, ama kwa njia ya kurudi kwenye lango au kwa kupokea anwani zilizotafsiriwa ambazo tayari anazijua.

Kuchagua kati ya hizo ni uamuzi wa muundo wenye matokeo yanayoonekana. Kuelekeza wigo wa wateja kurudi kunahifadhi utambulisho wa kila mteja kwa mshirika na kunahitaji akubali kiambishi awali chako. Tafsiri huficha bwawa nyuma ya anwani moja na kunahitaji mshirika akubali anwani hiyo pekee, kwa gharama ya kumbukumbu zako na zake kutokubaliana tena kuhusu nani aliunganisha.

Chochote utakachochagua, kiandike kando ya ufafanuzi wa bwawa. Njia ya kurudi inayopatikana tu katika kumbukumbu ya mtu fulani ndiyo aina ya kitu kinachoendelea kuishi hadi mshirika abadilishe firewall, kisha huchukua siku moja kuijenga upya.

Usinase handaki la lango lenyewe katika sera

Kanuni unazoandika kwa wateja zinatumika pia kwa trafiki ambayo lango huzalisha, isipokuwa ukiiepusha. Kanuni pana inayotegemea alama au kiolesura cha utoaji inaweza kunasa muunganisho wa lango lenyewe na mshirika, na kisha handaki linalobeba sera huelekezwa na sera. Hilo huzalisha mzunguko au kukatika kunakoonekana kama hitilafu ya mtoa huduma.

Punguza kila kanuni kwa ukomo unaoruhusiwa na muundo: kiambishi awali cha chanzo, kiolesura cha kuingia na, inaposaidiwa, alama ambayo pakiti za wateja pekee huibeba. Kisha jaribu muunganisho wa lango lenyewe baada ya kila mabadiliko ya kanuni, kwa sababu hitilafu inajirejea na haionekani katika jaribio la mteja.

Ukurasa wa mwongozo wa ip-rule unaandika maana ya kichaguzi na kipaumbele. Unganisha na jaribio la utafutaji kwa kila bwawa na muundo unakuwa unaoweza kukaguliwa, na hiyo ndiyo tofauti kati ya uelekezaji wa sera unaodumu mwaka mmoja na ule ambao kila mtu anaogopa kuugusa.