மேல்நிலை VPN பின்னால் கீழ்நிலை வாடிக்கையாளர்கள்: வழியா NAT-ஆ?

ஒரு நுழைவாயில் உங்கள் சொந்த சாதனங்களுக்கு WireGuard-ஐயும், வேறொருவரின் வலையத்திற்கு OpenVPN வாடிக்கையாளரையும் இயக்குகிறது. இரண்டு உள் இடைமுகங்களுக்கிடையே அனுப்புதல் வேலை செய்கிறது, எனவே கீழ்நிலை துணை வலையம் இப்போது மேல்நிலை சேவையின் பகுதி என்று முடிவெடுப்பது எளிது. அப்படியில்லை. வாடிக்கையாளர் இழுக்கும் வழி உங்கள் நுழைவாயிலுக்கு கோரிக்கைகளை எங்கு அனுப்புவது என்று சொல்கிறது; ஒருபோதும் கேள்விப்படாத சாதனங்களுக்கு தொலை வலையம் போக்குவரத்தை எப்படி திருப்பி அனுப்புகிறது என்பது பற்றி எதுவும் சொல்லவில்லை. ஒரு விதியையும் சேர்ப்பதற்கு முன் மேல்நிலை உண்மையில் ஆதரிக்கும் திரும்பல் மாதிரியைத் தேர்ந்தெடுக்கவும்.

வழியமைப்பைத் தொடுவதற்கு முன் திரும்பல் மாதிரியை முடிவு செய்யுங்கள்

இந்த விளக்கத்தில் கீழ்நிலை வாடிக்கையாளர்கள் 10.90.0.0/24 பயன்படுத்துகிறார்கள், நுழைவாயிலுக்கு வழங்கப்பட்ட மேல்நிலை சுரங்கப்பாதை முகவரி 10.80.0.6, அனுமதிக்கப்பட்ட தொலை வளம் 172.20.0.30. இந்த வடிவத்திற்கு இரண்டு மாதிரிகள் பொருந்தும்: கீழ்நிலை மூலத்தைத் தக்கவைத்து தொலைப் பக்கம் அதை வழியமைக்கச் செய்வது, அல்லது மூலத்தை நுழைவாயிலின் சொந்த சுரங்கப்பாதை முகவரிக்கு மொழிபெயர்ப்பது. இந்த முடிவுக்குப் பிறகு எல்லாம் இயந்திரத்தனமானது, முடிவுக்கே சேவையின் உரிமையாளர் தேவை. மேலே உள்ள ஒரு வரி தொலைப் பக்கத்துடனான வழியமைப்பு ஒப்பந்தம்; மற்றது நீங்கள் தனியாகச் செய்யக்கூடிய உள்ளூர் கொள்கை மாற்றம். இவை இரண்டையும் குழப்புவதே பத்து நிமிட வேலையை பேச்சுவார்த்தையாக மாற்றுகிறது.

preserved:  10.90.0.23 -> 172.20.0.30
translated: 10.80.0.6  -> 172.20.0.30

ஒரு வரியைத் தேர்ந்தெடுத்து அதில் நிலைத்திருங்கள். வரிகள் படிகள் அல்ல, மாற்றுகள், அவற்றைக் கலப்பது மதிப்பாய்வில் யாரும் விளக்க முடியாத வடிவமைப்பை உருவாக்கும்.

வழியமைப்பு மூலம் மூலத்தைப் பாதுகாத்தல்

தொலைப் பக்கம் கீழ்நிலை முகவரியிலிருந்து கோரிக்கையைப் பெறுகிறது, எனவே அந்த துணை வலையத்திற்கு ஆதரிக்கப்பட்ட வழியும் peer உரிமையும், அதை ஏற்க அனுமதியும் தேவை. இவை தொலை அமைப்புகள், எந்த உள்ளூர் Linux வழியும் இவற்றை உருவாக்காது. முன்னொட்டு மற்றும் அதைச் சுமக்கும் சுரங்கப்பாதை peer உடன், வெளிப்படையாகவும் எழுத்துப்பூர்வமாகவும் கேளுங்கள், சேவை தளம்-க்கு-தளம் ஏற்பாடுகளை ஆதரிக்கிறதா என்பதைப் பொறுத்து பதில் அமையும் என்று எதிர்பாருங்கள்.

பதில் ஆம் எனில் உள்ளூர் கட்டமைப்பு சிறியது: அனுப்புதல் இயக்கப்பட்டது, கீழ்நிலை வரம்பை மறைக்கும் WireGuard peer இன் allowed-ips, இரு திசைகளிலும் கடப்பதை அனுமதிக்கும் firewall கொள்கை.

வேண்டுமென்றே மூல மொழிபெயர்ப்பு

சேவை போக்குவரத்தை இணைக்கப்பட்ட வாடிக்கையாளர் முகவரிக்கு மட்டும் திருப்பி அனுப்பினால், வெளியேறும் போது மூலத்தை அந்த முகவரிக்கு மொழிபெயர்த்து, பதில்களுக்கு அதைத் திருப்பும் conntrack நிலையை வைத்திருங்கள். விதியை எண்ணப்பட்ட கீழ்நிலை மூலங்கள், எண்ணப்பட்ட தொலை இலக்குகள் மற்றும் மேல்நிலை இடைமுகத்திற்கு மட்டுப்படுத்துங்கள். ஒவ்வொரு இடைமுகத்திலிருந்தும் வெளியேறும் அனைத்தையும் மொழிபெயர்க்கும் விதி இந்தத் தேவையை விட மிகப் பெரிய கொள்கை, பின்னர் அது உங்களை ஆச்சரியப்படுத்தும்.

IPv6-க்கு அதன் சொந்த வடிவமைப்பு தேவை; IPv4 masquerade வரியை நகலெடுப்பது கட்டமைப்பு அல்ல. மொழிபெயர்க்கப்பட்ட பாதையை தற்காலிகச் சேமிப்பில் உள்ள இணைப்புக்கு பதிலாக புதிய இணைப்பில் சோதிக்கவும்.

உள்ளூர் தரவுப் பாதை இன்னும் வேலை செய்ய வேண்டும்

மொழிபெயர்ப்பு உள்ளூர் வேலையை நீக்காது: நுழைவாயிலுக்கு இன்னும் கீழ்நிலை இலக்குகளுக்கு வழி, சரியான WireGuard peer மூல உரிமை, இயக்கப்பட்ட அனுப்புதல் மற்றும் இடைமுகங்களுக்கிடையே குறுகிய firewall கொள்கை தேவை. நுழைவாயிலிலேயே உருவாகும் கோரிக்கை அந்த அனுமதிகளில் ஒன்றையும் பயிற்சி செய்யாது, அதனால்தான் நுழைவாயிலில் உள்ளூர் சோதனைகள் கடக்கின்றன ஆனால் கீழ்நிலை சாதனங்கள் இன்னும் தோல்வியடைகின்றன.

நுழைவாயிலிலிருந்து அல்ல, உண்மையான கீழ்நிலை சாதனத்திலிருந்து சோதிக்கவும். மூல முகவரியே இந்தப் பயிற்சியின் முழு நோக்கம்.

ஒரு மூலம் என்பது ஒரு அமர்வு அடையாளம்

தொலைச் சேவை ஒவ்வொரு கீழ்நிலை சாதனத்திற்கும் தனித்துவமான அங்கீகாரம் அல்ல, நுழைவாயிலின் அங்கீகரிக்கப்பட்ட அமர்வையும் அதன் மொழிபெயர்க்கப்பட்ட முகவரியையும் பார்க்கிறது. சாதனம் வாரியான அனுமதிகளையும் பயன்பாட்டு அடையாளங்களையும் வெளிப்படையாக வைத்திருங்கள், பல சாதனங்களுக்காகச் செயல்படும் நுழைவாயிலுக்கு அனுமதி உண்டா என்பதை சேவையின் உரிமையாளரிடம் உறுதிசெய்யுங்கள். மொழிபெயர்ப்பு சாதனம் வாரியான பதிவு தேவையைத் தவிர்க்கும் வழி அல்ல; சேவை ஒவ்வொரு சாதனத்தின் பதிவையும் கேட்டால், அந்த மாதிரியையே பயன்படுத்துங்கள் அல்லது தளம்-க்கு-தளம் ஏற்பாட்டைப் பேச்சுவார்த்தை செய்யுங்கள்.

அந்த உறுதியை விதியின் அருகில் runbook இல் எழுதுங்கள், ஏனெனில் அடுத்த மதிப்பாய்வாளர் வடிவமைப்பு அங்கீகரிக்கப்பட்டதா அல்லது வெறும் வசதியானதா என்று கேட்பார்.

துண்டிக்கப்பட்ட நிலையை வரையறுத்து, பின்னர் மூன்று கோரிக்கைகளைச் சோதிக்கவும்

மேல்நிலை சுரங்கப்பாதை விழும்போது என்ன நடக்கும் என்பதை முடிவு செய்யுங்கள். தடைசெய்யப்பட்ட இடத்தில் அங்கீகரிக்கப்பட்ட தொலைப் போக்குவரத்து அமைதியாக சாதாரண WAN மாற்றுப் பாதையைப் பின்பற்றக்கூடாது, எனவே கடப்பதை அனுமதிக்கும் firewall கொள்கையும் மூடிய நிலையில் தோல்வியடைய வேண்டும். பின்னர் உண்மையான கீழ்நிலை சாதனத்திலிருந்து மூன்று நிலைகளைச் சோதிக்கவும்: வேலை செய்யும் அனுமதிக்கப்பட்ட கோரிக்கை, தோல்வியடையும் தடைசெய்யப்பட்ட கோரிக்கை, அனுமதிக்கப்பட்டதை நிறுத்தும் மேல்நிலை கோளாறு.

ஒவ்வொரு விதிக்கும் ஒரு வரியில் மீள்வித்தலைப் பதிவு செய்யுங்கள், நோக்கத்தை மீண்டும் கட்டமைக்காமல் மாற்றத்தை ரத்து செய்ய முடியும்.