Wateja wawili wa VPN, anwani mbili za umma: oanisha SNAT

Wateja wawili wa VPN wanaweza kutoka kupitia anwani mbili tofauti za umma za IPv4, na kanuni inayofanya hivyo ni fupi kuliko wengi wanavyotarajia. Kinachoifanya ifanye kazi si sintaksia ya iptables bali hali ya pakiti inapofika kwenye mnyororo wa kutoka: anwani ya chanzo hapo bado inapaswa kuwatofautisha wateja. Ikiwa masquerade ya awali tayari imeunganisha wote wawili kwenye anwani moja, hakuna kanuni ya kila mteja inayoweza kurejesha tofauti hiyo. Tatua swali hilo kwanza, kisha uandike tafsiri.

Utambulisho upi unabaki hadi lango

Kanuni inalingana na anwani ya chanzo ya pakiti, si jina la mtumiaji wa VPN na si jina ambalo programu ya mteja inaonyesha. Kila kitu kinachotafsiri pakiti mapema kwenye njia huamua kile kanuni yako bado inaweza kuona. Endesha jedwali la nat kwa mpangilio na utafute mahali ambapo chanzo bado ni cha kila mteja.

iptables -t nat -S POSTROUTING

Soma orodha hiyo kutoka juu. Kanuni ya masquerade karibu na juu huandika upya chanzo kwa kila mtiririko unaolingana, na maingizo ya kila mteja yaliyowekwa baada yake yanalingana na anwani ambayo haipo tena. Wakati vifaa viwili vya LAN vinashiriki handaki moja na kufika kama anwani moja ya ndani, muundo lazima ubadilike kabla ya firewall: weka safu zao za chanzo tofauti au mpe kila mmoja anwani yake ya ndani.

Unganisha ugawaji wa anwani ya ndani na mteja aliyethibitishwa. Kutoa anwani hiyo kwa kifaa kingine kunatoa pia sera ya kutoka, na tafsiri ya chanzo yenyewe si uthibitisho wa utambulisho.

Tafsiri haiwezi kubuni anwani

Kila anwani ya umma lazima igawiwe au ielekezwe kwenye sehemu hii ya kutoka, na majibu lazima yapate njia ya kurudi. Kanuni inayotuma trafiki kutoka anwani ambayo hakuna anayeelekeza kurudi huachwa upande wa mbali au hujibiwa kwa mwenyeji ambaye hakuwahi kuiomba. Kielelezo cha mtoa huduma wa wingu kwa kawaida huwa na anwani yake ya umma iliyotafsiriwa kuwa anwani ya kiolesura cha kibinafsi kabla pakiti haijatoka, kwa hiyo chanzo cha SNAT lazima kiwe anwani ambayo mtoa huduma atakubali, si thamani ambayo konsoli inaonyesha. Soma muundo wa anwani wa mtoa huduma na ufuate badala ya kunakili thamani ya umma kwenye kila pakiti.

Kwa vitendo hii inamaanisha kuangalia kiambishi kilichoelekezwa kwenye konsoli ya mtoa huduma kabla ya kugusa firewall, na kutumia anwani ya kiolesura cha kibinafsi kama chanzo cha tafsiri wakati ramani ni moja kwa moja. Anwani zinazotumika katika mifano hapa chini zinatoka kwenye safu za nyaraka, kwa hiyo kitu cha kwanza cha kubadilisha ni maandishi ya anwani yenyewe.

Ingiza kabla ya masquerade ya jumla

Thibitisha kiolesura cha kutoka na mnyororo wa sasa kabla ya kuongeza chochote. Ya kwanza huamua pakiti zipi kanuni inaweza kulingana nazo, na ya pili inaonyesha kile kilicho mbele yake tayari.

ip -4 route show default
iptables -t nat -L POSTROUTING -n -v --line-numbers

Amri ya kwanza inataja kiolesura ambacho pakiti kuelekea mtandao inatoka kweli. Ya pili inachapisha mnyororo pamoja na nambari za mistari. Ingizo la masquerade ya jumla ni mstari ambao unapaswa kubaki juu yake.

iptables -t nat -I POSTROUTING 1 -s 10.88.4.20/32 -o ens3 -j SNAT --to-source 198.51.100.77
iptables -t nat -I POSTROUTING 1 -s 10.88.4.21/32 -o ens3 -j SNAT --to-source 198.51.100.78

Kanuni mbili hapo juu zinalingana na anwani moja ya ndani kila moja, zinaweka ulinganifu kwenye kiolesura cha kutoka na zinaweka chanzo wazi. Ingiza badala ya kuongeza: kwenye nafasi 1 zinatathminiwa kabla ya mstari wa masquerade. Mpangilio kati yao hauna umuhimu kwa sababu vyanzo vyao vinatofautiana. Badilisha ens3 na kile amri ya njia iliripoti, na uweke wasimamizi wengine wa firewall mbali na ndoano zilezile, kwa sababu zana mbili kuandika jedwali moja ni sababu ya kawaida kwa nini kanuni sahihi haina athari.

Thibitisha chanzo kwa mtiririko mpya

Stateful NAT hufunga tafsiri wakati mtiririko unaanza na kuutumia tena kwa pakiti za baadaye, kwa hiyo kikao kilichofunguliwa kabla ya mabadiliko kinabaki na chanzo chake cha zamani baada ya mabadiliko. Muunganisho mpya ulioanzishwa pekee ndio unaothibitisha kanuni.

conntrack -L -s 10.88.4.20 -p tcp --dport 443

Soma mwelekeo wa jibu wa ingizo hilo: mwisho wake ni anwani ambayo mwisho wa mbali anaiona kama chanzo. Linganisha na anwani ya umma uliyokusudia, na chukua ingizo linalobeba anwani ya zamani kama ushahidi wa mtiririko ulioanza mapema sana, si kanuni iliyovunjika. Mwambie mteja afungue muunganisho mpya, kisha urudie swali. Kufuta jedwali lote la ufuatiliaji ili kulazimisha jaribio huathiri kila kikao kingine kwenye lango.

Tafsiri bado haichagui njia, hairuhusu mtiririko kupita kwenye kichujio na haichapishi huduma ya kuingia. Njia isiyo sahihi na kanuni ya ruhusa inayokosekana zinaendelea kushindwa baada ya kanuni kamili ya SNAT. Angalia pia IPv6 na njia yoyote ya pili ya kutoka, kisha andika jozi za ndani-hadi-umma kwenye nyaraka za firewall ili mabadiliko yajayo yaanzie kwenye ramani badala ya maandishi ya kanuni.