Tailscale துணை வலையமைப்பு SNAT-ஐ முடக்கிய பிறகு ஒரு வழிப் போக்குவரத்து

Tailscale துணை வலையமைப்பு திசைவியில் மூல NAT-ஐ முடக்குங்கள், சுரங்கம் வேலை செய்துகொண்டே இருக்கும் ஆனால் அதன் வழியே செல்லும் இணைப்புகள் நிற்கும். கோரிக்கைகள் இலக்கை அடையும்போது தொலைவிலுள்ள வாடிக்கையாளரின் சொந்த overlay முகவரியுடன் வருகின்றன, இதுவே இந்த மாற்றத்தின் நோக்கம், மேலும் பதில்களுக்கு இப்போது LAN ஒருபோதும் தெரிந்திருக்கத் தேவையில்லாத வழி தேவை. அந்த வழி இல்லாமல் பொதிகள்கள் இறங்குகின்றன, பதில்கள் சாதாரண நுழைவாயில் வழியே வெளியேறுகின்றன, மேலும் தோல்வி எந்த firewall விதியும் விளக்காத firewall சிக்கலாகத் தெரிகிறது. சுரங்கம் ஆரோக்கியமாக உள்ளது; திரும்பும் பகுதி இல்லை.

SNAT மறைத்தது என்ன

SNAT இயக்கத்தில் இருக்கும்போது திசைவி துணை வலையமைப்புக்கு அனுப்பும் முன் மூல முகவரியை தனது சொந்த LAN முகவரியாக மாற்றியெழுதுகிறது, எனவே இலக்கு ஏற்கனவே அடையத் தெரிந்த புரவலனுக்கு பதிலளிக்கிறது, வேறு எதையும் அமைக்க வேண்டியதில்லை. அதை முடக்குவது அசல் மூலத்தைத் தக்கவைக்கிறது, இலக்கு தனது கம்பியில் உள்ள அண்டையருக்குப் பதிலாக overlay வரம்பிற்குள் உள்ள முகவரியைப் பார்க்கிறது. அந்த முகவரி உண்மையானது மற்றும் tailnet முழுவதும் வழிப்படுத்தக்கூடியது, ஆனால் இயல்புநிலை நுழைவாயில் வழியாக LAN-இல் இருந்து அதை அடைய முடியாது. ஆவணப்படுத்தப்பட்ட சுவிட்ச் --snat-subnet-routes=false, இது Linux துணை வலையமைப்பு திசைவியிலேயே பயன்படுத்தப்படுகிறது.

இது ஒவ்வொரு பொதிகளுக்குமான நிலைமாற்றி அல்ல, நிரந்தர அமைப்பு, எனவே அந்த திசைவி சேவை செய்யும் ஒவ்வொரு இலக்கு வலையமைப்புக்கும் திரும்பும் வழி இருக்க வேண்டும். இதுவே மாற்றத்தை தேர்வுப்பெட்டிக்குப் பதிலாக வரிசைப்படுத்தல் முடிவாக மாற்றுகிறது. அந்த திசைவி சேவை செய்யும் அனைத்தும் அதே கணத்தில் இந்தத் தேவையை மரபாகப் பெறுகின்றன.

திரும்பும் வழி எங்கு இருக்கலாம்

மூன்று இடங்கள் பொதுவானவை, அவை சரியான தன்மையில் அல்ல, அடையக்கூடிய வீச்சில் வேறுபடுகின்றன. இலக்கு புரவலனில் உள்ள நிலையான வழி மிக நேரடியானது மற்றும் மிகக் குறைவாக விரிவாக்கக்கூடியது, ஏனெனில் ஒவ்வொரு சாதனத்திற்கும் அதன் சொந்த நகல் தேவை. VPC அல்லது தள திசைவியில் உள்ள வழி அட்டவணை முழு வலையமைப்பையும் ஒரே நேரத்தில் மூடுகிறது, வகுப்பற்ற நிலையான வழிகளை எடுத்துச் செல்லும் DHCP விருப்பம் வாடிக்கையாளர்களை தானாக அடைகிறது ஆனால் அதைப் புறக்கணிக்கும் சாதனங்களில் அமைதியாகத் தோல்வியடைகிறது.

ip route add 100.64.0.0/10 via 192.168.1.10
ip route get 100.64.0.5

நீங்கள் எந்த இடத்தைத் தேர்ந்தெடுத்தாலும், அடுத்த தாவல் திசைவியின் LAN முகவரி, ஒருபோதும் அதன் tailnet முகவரி அல்ல. LAN புரவலன் இந்த வழி இல்லாமல் overlay-ஐ அடைய முடியாது, எனவே overlay-க்குள் அடுத்த தாவல் வட்டமானது மற்றும் பொதியை எங்கும் அனுப்பாது. அந்த ஒரே தவறு சரியாகத் தெரிந்தும் தோல்வியடையும் பெரும்பாலான கட்டமைப்புகளை விளக்குகிறது, மேலும் திசைவியின் சொந்த அட்டவணையை மட்டும் படிக்கும் எந்தச் சரிபார்ப்பையும் தாண்டிச் செல்கிறது. நீங்கள் எந்த இடத்தைப் பயன்படுத்தினீர்கள் என எழுதி வையுங்கள், இல்லையெனில் அடுத்தவர் தவறானதைச் சோதிப்பார்.

தோல்வியை ஒரு வழிப் போக்குவரத்தாகப் படித்தல்

அறிகுறி காரணத்தை விட எளிதில் அடையாளம் காணப்படும்: சேவை திசைவியிலேயே பதிலளிக்கிறது, தொலைவிலுள்ள வாடிக்கையாளரிடமிருந்து அமைதியாக இருக்கிறது. இலக்கில் பிடிப்பு கோரிக்கைகள் வருவதையும் பதில்கள் செல்வதையும் காட்டுகிறது, அந்தப் பதில்கள் எங்கு செல்கின்றன என்பதைக் கவனிக்கும் வரை அது வெற்றியாகத் தெரிகிறது. அவை இயல்புநிலை நுழைவாயிலை நோக்கிச் செல்கின்றன, அதாவது வரும் பகுதி வேலை செய்தது, திரும்பும் பகுதி செய்யவில்லை.

அதற்குப் பதிலாக திசைவியில் பிடியுங்கள், ஏனெனில் அது ஒரு பரிமாற்றத்தின் இரு திசைகளையும் பார்க்கிறது, பதில் எப்போதாவது வந்ததா எனக் காட்டுகிறது. பதில் இலக்கில் தெரிந்து திசைவியில் ஒருபோதும் தெரியவில்லை என்றால், வழி இலக்குப் பக்கத்தில் இல்லை அல்லது தவறானது. அது திசைவியில் தெரிந்து அங்கேயே நின்றால், சிக்கல் மேலும் தொலைவில் உள்ளது, வேறு விசாரணைக்கு உரியது.

sudo tcpdump -ni any host 100.64.0.5
ip route get 100.64.0.5

உண்மையான முகவரி ஒரு வழிக்குத் தகுதியானதா

இலக்கு வலையமைப்பை மீண்டும் கட்டமைக்க முடியாத போதெல்லாம் SNAT-ஐ வைத்திருப்பது எளிய பதிலாகவே இருக்கும், விலை என்னவென்றால் ஒவ்வொரு வாடிக்கையாளரும் இலக்கின் பதிவுகளிலும் கொள்கையிலும் திசைவி போலவே தெரிகிறார். ஒரு பயன்பாட்டிற்கு உண்மையான மூல முகவரி தேவைப்படும்போது அல்லது வலையமைப்புக் கொள்கை ஒரே திசைவியைப் பகிரும் வாடிக்கையாளர்களை வேறுபடுத்த வேண்டியிருக்கும்போது அதை முடக்குவது நியாயமானது. இரண்டும் செல்லுபடியாகும் காரணங்கள், எதுவும் இலவசமல்ல. பயன் ஒவ்வொரு இலக்கு வலையமைப்பிலும் வழியைப் பராமரிப்பதற்கும் கீழே விவரிக்கப்பட்ட firewall மறுஆய்வுக்கும் தகுதியானதாக இருக்க வேண்டும்.

ஒரு சிறிய LAN-க்கு இந்தப் பரிமாற்றம் பொதுவாக லாபகரமானது, நிலையான வழியை எடுக்க முடியாத சாதனங்களின் பரவலுக்கு பொதுவாக இல்லை. முடிவையும் காரணத்தையும் திசைவி கட்டமைப்பின் அருகில் பதிவு செய்யுங்கள், அடுத்த நிர்வாகி எந்த நடத்தை வேண்டுமென்றே என்பதை அறியட்டும். யாரும் எழுதாத இயல்புநிலையை கவனக்குறைவிலிருந்து வேறுபடுத்த முடியாது.

Firewall, பதிவு மற்றும் இரட்டைப் பங்கு

திசைவியின் LAN முகவரியுடன் பொருந்திய ஒவ்வொரு விதியும் இப்போது வேறு மூலத்துடன் பொருந்துகிறது, அதில் அனுமதி விதிகளும் திசைவியை வாடிக்கையாளராகப் பதிவு செய்த எந்தப் பதிவுப் புலமும் அடங்கும். அந்த விதிகளை முதல் சோதனைக்கு முன் படியுங்கள், முதல் தோல்விக்குப் பின் அல்ல, ஏனெனில் திசைவியின் முகவரிக்கு மட்டும் அனுமதி அளிக்கும் விதி புதிய மூலத்தை முழுமையாகத் தடுக்கிறது. மாற்றீட்டைத் தேவைப்படும் வாடிக்கையாளர்கள் மற்றும் துறைகளுக்கு மட்டுப்படுத்துங்கள், பின்னர் அது முழு tailnet-ஐயும் அமைதியாக அனுமதிக்கவில்லை என்பதை உறுதி செய்யுங்கள்.

sudo nft list ruleset | grep -n '100\.64'
sudo iptables-save | grep -n '100\.64'

ஒரு முனை ஒரே நேரத்தில் வெளியேறும் முனையாகவும் துணை வலையமைப்பு திசைவியாகவும் சேவை செய்வது ஆவணப்படுத்தப்பட்ட கலவையாகும், துணை வலையமைப்பு SNAT முடக்கப்பட்டதும் அது மேல்நோக்கிய போக்குவரத்தை வீழ்த்தக்கூடும். அந்தப் பங்குகளை வெவ்வேறு முனைகளில் பிரிப்பது இந்த எச்சரிக்கையை நீக்கி ஒவ்வொரு வழிக்கும் firewall கொள்கைக்கும் ஒரே உரிமையாளரைத் தருகிறது. பங்குகள் ஒன்றாகவே இருக்க வேண்டுமானால், இந்த நடத்தையை எதிர்பார்த்து வாடிக்கையாளரைக் குற்றம் சொல்வதற்கு முன் சோதியுங்கள். வழி, சுவிட்ச் அமைப்பு, பங்கு ஒதுக்கீடு ஆகியவற்றை ஒரே குறிப்பில் வைத்திருங்கள், அடுத்த இணைப்பு தோல்வியடையும்போது அவை ஒன்றாகப் படிக்கப்படுகின்றன.