மாஸ்கரேட் அல்லது கொள்கை அடிப்படையிலான வழிமாற்றல்: VPN நுழைவாயில் வழியாக LAN போக்குவரத்து

முழு LAN ஐயும் VPN சுரங்கப்பாதைக்குப் பின்னால் வைப்பது எளிய பகுதி; எதிர்ப் பக்கம் அந்த வாடிக்கையாளர்களை எப்படிப் பார்க்கிறது என்பதைத் தீர்மானிப்பது எளிதல்ல. மாஸ்கரேட் ஒவ்வொரு LAN மூலத்தையும் நுழைவாயிலின் சுரங்கப்பாதை முகவரிக்கு மீண்டும் எழுதுகிறது, எனவே எதிர் முனை ஒரு பங்காளிக்கு பதிலளிக்கிறது. கொள்கை அடிப்படையிலான வழிமாற்றல் அசல் முகவரிகளைத் தக்கவைத்து, எதிர்ப் பக்கம் அவற்றை அடையும் விதத்தை அறிந்திருக்க வேண்டும். இரண்டுமே இயல்புநிலை அல்ல; தேர்வு எதிர்ப் பக்கம் யாருக்குச் சொந்தம், சாதனம் வாரியான அடையாளம் முக்கியமா என்பதைப் பொறுத்தது.

இந்த இரு வடிவமைப்புகளும் வெவ்வேறு விஷயங்களை உறுதியளிக்கின்றன

மாஸ்கரேட் LAN ஐ ஒரே தெரியும் புரவலனாகக் குறைக்கிறது: நுழைவாயில். எதிர் வலையமைப்பு அந்த ஒரே முகவரிக்குப் பதிலளிக்கிறது, நுழைவாயில் பதில்களை ஓட்டத்தைத் தொடங்கிய வாடிக்கையாளருக்குத் திரும்ப மொழிபெயர்க்கிறது. எதிர்ப் பக்கத்தில் உங்கள் தனிப்பட்ட முன்னொட்டுகளுக்கு எந்த வழியும் தேவையில்லை, அதனால்தான் இந்த வடிவமைப்பு அவற்றைச் சுமக்க மறுக்கும் வழங்குநருடனும் நிலைத்திருக்கிறது. நுழைவாயில் ஒவ்வொரு இணைப்பின் மூலமாகவும் மாறுகிறது, எனவே எதிர்ப் பக்கம் இரு வாடிக்கையாளர்களை வேறுபடுத்த முடியாது.

கொள்கை அடிப்படையிலான வழிமாற்றல் ஒவ்வொரு வாடிக்கையாளரின் முகவரியையும் அப்படியே வைத்திருக்கிறது. எதிர் வலையமைப்பு உண்மையான மூலத்தைப் பார்க்கிறது, அதைப் பதிவு செய்யலாம், புரவலன் வாரியான விதியைப் பயன்படுத்தலாம் அல்லது பதிலை நேராக அந்த முகவரிக்கே அனுப்பலாம். அந்தத் தெரிவுநிலையே முழு விஷயம், அது ஒரு கடமையையும் கொண்டு வருகிறது: எதிர்ப் பக்கத்தில் LAN முன்னொட்டுக்கு சுரங்கப்பாதை வழியாகத் திரும்பும் வழி இருக்க வேண்டும். விதியை இயக்கும் முன் அந்த வழியைத் திட்டமிடுங்கள், ஏனெனில் சுரங்கப்பாதை எப்படியும் மேலெழும், குறையப் போவது பதில்கள் மட்டுமே.

தோல்வி முறைகள் உறுதிமொழிகளைப் போலவே வேறுபடுகின்றன. இல்லாத மாஸ்கரேட் விதி தனிப்பட்ட மூலங்களுடன் வெளியேறி ஒருபோதும் திரும்பாத பொதிகளை உருவாக்குகிறது. இல்லாத திரும்பும் வழி கொள்கை அடிப்படையிலான வழிமாற்றலில் அதே அறிகுறியைத் தருகிறது, ஆனால் சரிசெய்தல் நுழைவாயிலில் அல்ல, எதிர் வழிமாற்றியில்.

மாஸ்கரேட்: எதிர்ப் பக்கத்தில் ஒரு பங்காளி

மாஸ்கரேட் பாதைக்கு முக்கியமான ஒரு வரிசை உண்டு. எந்த NAT விதியும் பயனளிக்கும் முன் முன்னனுப்பல் இயக்கப்பட்டிருக்க வேண்டும், வடிகட்டி அட்டவணை இரு திசைகளிலும் கடக்க அனுமதிக்க வேண்டும், அதன் பிறகே சுரங்கப்பாதை இடைமுகத்தில் மொழிபெயர்ப்பு பொருந்தும்.

sysctl -w net.ipv4.ip_forward=1
iptables -A FORWARD -i eth1 -o tun0 -j ACCEPT
iptables -A FORWARD -i tun0 -o eth1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

வாடிக்கையாளர்களுக்கு இன்னும் நுழைவாயிலுக்குப் பாதை தேவை. ஒன்று நுழைவாயில் அவர்களின் இயல்புநிலை வழிமாற்றி, அல்லது அவர்கள் எதிர் முன்னொட்டுக்கு குறிப்பிட்ட வழியைக் கொண்டு செல்கிறார்கள்; தனி வழிமாற்றி இயல்புநிலையாக இருந்தால், அந்த வழிமாற்றிக்கு சுரங்கப்பாதை இலக்குகளுக்கு நிலையான வழி தேவை, இல்லையேல் நுழைவாயில் பார்ப்பதற்கு முன்பே பொதி தவறான தாவலுக்குச் செல்கிறது.

DNS ஒரு தனி முடிவு. எதிர்ப் பக்கத்தின் தீர்வி அதன் பதில் வாடிக்கையாளருக்குத் திரும்பிச் செல்ல முடிந்தால் மட்டுமே பதிலளிக்கிறது. மாஸ்கரேட்டில் வினவல் நுழைவாயிலிலிருந்து வருவது போல் தெரிகிறது, எனவே தீர்வியின் திரும்பும் பாதை ஏற்கெனவே நிறைவேறியது; கொள்கை அடிப்படையிலான வழிமாற்றலில் தீர்விக்கு மற்ற எந்த எதிர் சேவையையும் போலவே அதே திரும்பும் வழி தேவை.

கொள்கை அடிப்படையிலான வழிமாற்றல்: மூலத்தை வைத்திருங்கள், திரும்பும் பாதையைச் சேர்க்கவும்

கொள்கை அடிப்படையிலான வழிமாற்றல் ஒரு அட்டவணையிலும் அதைத் தேர்ந்தெடுக்கும் விதியிலும் தொடங்குகிறது. LAN இடைமுகத்திலிருந்து உள்ளே வரும் போக்குவரத்து தனி அட்டவணைக்கு அனுப்பப்படுகிறது, அந்த அட்டவணை சுரங்கப்பாதை வழியாக இயல்புநிலை வழியைக் கொண்டுள்ளது. முதன்மை அட்டவணை தொடப்படாமல் இருக்கிறது, எனவே நுழைவாயிலே உருவாக்கும் போக்குவரத்து வேறு பாதையைப் பின்பற்றலாம்.

ip rule add iif eth1 table vpn
ip route add default dev tun0 table vpn

பின்னர் எதிர்ப் பக்கம் LAN முன்னொட்டை சுரங்கப்பாதை வழியாகத் திரும்ப வழிமாற்ற வேண்டும். அது இந்த நுழைவாயிலில் அல்ல, எதிர் வழிமாற்றியில் செய்யும் அமைப்பு. முதன்மை அட்டவணை எதிர்பார்ப்பதைவிட வேறு இடைமுகத்தில் வரும் பதில்களையும் நுழைவாயில் ஏற்க வேண்டும்; கடுமையான முறை அந்தப் பொதிகளை வீழ்த்தும்போது தளர்வான தலைகீழ் பாதை வடிகட்டல் (rp_filter 2 ஆக அமைக்கப்பட்டது) வழக்கமான சரிசெய்தல்.

இரு சுரங்கப்பாதைகள் செயலில் இருக்கும்போது ஒவ்வொரு ஓட்டத்தையும் நுழையும்போது குறியிடுங்கள், குறி அட்டவணையைத் தேர்ந்தெடுக்கட்டும். உள்ளீட்டு இடைமுகத்தை மட்டும் பார்க்கும் விதி இரு சுரங்கப்பாதைகளின் போக்குவரத்தையும் ஒரே அட்டவணைக்கு அனுப்புகிறது, எனவே இரண்டாவது சுரங்கப்பாதை முதல் ஒன்றின் ஓட்டங்களைத் திருடுகிறது. அந்தக் குறியை மீண்டும் இணைதலைத் தாங்கும் இணைப்பால் சோதியுங்கள், ஏனெனில் அப்போதுதான் கலப்புக் கொள்கை வெளிப்படுகிறது.

உரிமை மற்றும் எதிர்ப் பக்கம் எதைப் பதிவு செய்கிறது என்பதன் அடிப்படையில் முடிவு செய்யுங்கள்

சுரங்கப்பாதை வழங்குநரிடம் முடிந்தால், மாஸ்கரேட்டைப் பயன்படுத்துங்கள். அந்த இயக்குபவர் உங்கள் தனிப்பட்ட LAN வரம்புகளை வழிமாற்ற மாட்டார், உங்கள் நுழைவாயிலுக்குப் பின்னால் உள்ள தனி வாடிக்கையாளர்களை வேறுபடுத்த அவருக்குக் காரணமும் இல்லை. ஒரே தெரியும் பங்காளிதான் அவரது கொள்கை ஆதரிக்கும் ஒரே மாதிரி, எனவே அதைக் கொடுங்கள், மொழிபெயர்ப்பை உங்கள் விளிம்பிலேயே வைத்திருங்கள். வழங்குநர் ஒரு பங்காளியைப் பார்க்கிறார், அது அவரது கொள்கை எதிர்பார்ப்பதைச் சரியாகப் பிரதிபலிக்கிறது, உங்கள் வாடிக்கையாளர்கள் அந்த ஒரே அடையாளத்தை மரபாகப் பெறுகிறார்கள்.

இரு முனைகளும் உங்களுடையதாக இருந்து, எதிர் சேவைகள் மூல முகவரிகளில் செயல்பட்டால், கொள்கை அடிப்படையிலான வழிமாற்றல் தனது கூடுதல் வழிக்குத் தகுதியானது. அப்போது தீச்சுவர் விதிகள், பயனர் வாரியான அணுகல், தணிக்கைப் பதிவுகள் வாடிக்கையாளர்களை வேறுபடுத்த முடியும். எதிர்ப் பக்கத்துக்கு அணுகல் மட்டுமே தேவைப்பட்டால், மாஸ்கரேட் எளிமையானது, திரும்பும் வழிப் பிழைகளின் ஒரு வகையை நீக்குகிறது.

கலப்பு வடிவமைப்புகள் சாதாரணம்: உங்கள் சொந்த வலையமைப்பில் கொள்கை அடிப்படையிலான வழிமாற்றல், வழங்குநர் விளிம்பில் மாஸ்கரேட். முக்கியமானது எந்தத் தாவல் மொழிபெயர்க்கிறது, எந்தத் தாவல் வழிமாற்றுகிறது என்பதை எழுதி வைப்பதே, ஏனெனில் ஒரு வாடிக்கையாளருக்காகத் தவறுதலாகச் சேர்க்கப்பட்ட NAT விதி அதே சங்கிலியில் உள்ள ஒவ்வொரு வாடிக்கையாளரின் மூலத்தையும் மறைக்கிறது.

ஒரு வாடிக்கையாளரிடமிருந்து சரிபார்க்கவும், பின்னர் இரண்டாவது வாடிக்கையாளரிடமிருந்து

போக்குவரத்து தொடங்கும் இடத்திலேயே சோதனையை இயக்குங்கள். புரவலன் பயன்படுத்தும் வழியைச் சரிபார்க்கவும், சுரங்கப்பாதை இடைமுகத்தில் பொதி தோன்றுவதைக் கவனிக்கவும், மொழிபெயர்ப்புக்காக conntrack ஐச் சரிபார்க்கவும். அந்த வரிசை பொதி எண்ணிய பாதையை எடுத்ததை நிரூபிக்கிறது, எங்கோ போய்ச் சேர்ந்தது என்பதை அல்ல.

மீண்டும் இணைந்தபின் சோதனையை மீண்டும் செய்யுங்கள். இடைமுகத்தைப் பெயரிடும் மாஸ்கரேட் விதி புதிய சுரங்கப்பாதை முகவரியிலும் நிலைத்திருக்கும்; பழைய முகவரியைப் பெயரிடும் விதி நிலைத்திராது. பின்னர் இரண்டாவது LAN புரவலனைச் சோதியுங்கள், ஏனெனில் ஒரு இயந்திரத்தில் வேலை செய்யும் வடிவமைப்பு பெரும்பாலும் அந்த இயந்திரத்தின் சொந்த வழியைச் சார்ந்திருக்கிறது, நுழைவாயிலின் கொள்கையை அல்ல.

தேர்ந்தெடுத்த மாதிரி, மொழிபெயர்க்கப்பட்ட அல்லது தக்கவைக்கப்பட்ட மூலம், திரும்பும் வழியின் உரிமையாளர் ஆகியவற்றை நுழைவாயிலின் குறிப்புகளில் எழுதுங்கள். இல்லையேல் வாடிக்கையாளரோ சுரங்கப்பாதையோ சேர்க்கும் அடுத்த நபர் ஊகிப்பார், ஊகமே வேலை செய்யும் LAN-முதல்-VPN அமைப்பை பாதியாக மாற்றும் வழி.