இரண்டு VPN குளங்களுக்கான மூல வழிசெலுத்தல்: உங்கள் விதி தவறவிடுவது என்ன
from வடிவ விதி SNAT மீண்டும் எழுதுவதற்கு முன் வாடிக்கையாளர் முகவரியுடன் பொருந்துகிறது, நுழைவாயிலிலிருந்து செய்யும் சோதனை இரண்டுடனும் பொருந்தாது. ஒவ்வொரு குளத்திற்கும் தேடலை இயக்கி அதற்குப் பதிலாக முன்னுரிமைகளைப் படியுங்கள்.
இரண்டு வாடிக்கையாளர் குளங்கள், ஒரு நுழைவாயில், திட்டம் எளிதாகத் தெரிகிறது: ஒரு விதி முதல் குளத்தை வேகமான மேலிணைப்பு வழியாக அனுப்புகிறது, இன்னொன்று இரண்டாவது குளத்தை கூட்டாளர் சுரங்கப்பாதை வழியாக அனுப்புகிறது. பிறகு விதிகள் இடத்தில் உள்ளன, இரண்டாவது குளம் இன்னும் இயல்புநிலை வழியாகவே வெளியேறுகிறது. விதி உடைந்துவிடவில்லை. தேடல் நடக்கும் தருணத்தில் எழுதியவர் எதிர்பார்த்தது பாக்கெட்டின் மூலம் அல்ல, ஏனென்றால் மொழிபெயர்ப்பும் தேடலும் ஒரே பாக்கெட்டின் பயணத்தின் வெவ்வேறு புள்ளிகளில் நடக்கின்றன, மேலும் வரிசை பெரும்பாலானோர் வரையும் மனப் படத்திற்கு எதிரானது.
மூலம் மீண்டும் எழுதப்படுவதற்கு முன் தேடல் நடக்கிறது
VPN வாடிக்கையாளரிடமிருந்து அனுப்பப்படும் பாக்கெட்டுக்கு கர்னல் ஒரு நிலையான வரிசையை இயக்குகிறது. அது சுரங்கப்பாதை இடைமுகத்தில் வருகிறது, conntrack மற்றும் DNAT உள்ள prerouting வழியாக செல்கிறது, பிறகு வழிசெலுத்தல் முடிவு எடுக்கப்படுகிறது, பிறகு அனுப்புதல், பிறகு SNAT கடைசியாக பயன்படுத்தப்படும் postrouting. from வடிவ விதி அந்த வழிசெலுத்தல் முடிவின் போது பார்க்கப்படுகிறது, அதாவது அது வாடிக்கையாளரின் அசல் முகவரியைப் பார்க்கிறது, மொழிபெயர்க்கப்பட்டதை அல்ல.
எனவே masquerade விதியைச் சேர்ப்பது வெளியேறும் ஓட்டத்திற்கு எந்தக் கொள்கை பொருந்துகிறது என்பதை மாற்றாது. மாறுவது தொலை முனை பார்ப்பது, அதனால் எந்தத் திரும்பும் பாதை உள்ளது என்பது. இவை இரண்டு வெவ்வேறு விளைவுகள், மாற்ற ஆய்வுகள் அவற்றை தொடர்ந்து குழப்புகின்றன. அவற்றைப் பிரிக்கவும், வடிவமைப்பு பொதுவாக ஒரு நிமிடத்தில் தெளிவாகும்.
பதிலின் திசையில்தான் மொழிபெயர்க்கப்பட்ட முகவரி விதிகளில் தோன்றுகிறது. நுழைவாயிலுக்குத் திரும்பும் பாக்கெட் மொழிபெயர்க்கப்பட்ட முகவரிக்கு முகவரியிடப்படுகிறது, இலக்கு அல்லது அது நுழைந்த இடைமுகத்தின் அடிப்படையில் கொள்கை விதிகள் இருந்தால், நீங்கள் பொருத்தப்போவது அந்த மதிப்புதான். ஒரே இணைப்பு, ஒவ்வொரு திசையிலும் வெவ்வேறு உண்மையின் மூலம்.
| Stage | Source the kernel sees | What it means for your rule |
|---|---|---|
| Prerouting | Client address, 172.31.7.42 | Where marks and DNAT are applied |
| Routing decision | Still 172.31.7.42 | This is where from rules match |
| Postrouting | Becomes 198.51.100.9 | What the far end and its return route see |
எனவே வெவ்வேறு மூலங்களைக் கொண்ட இரண்டு குளங்களுக்கு உண்மையிலேயே வெவ்வேறு அட்டவணைகள் தேவை, வடிவமைப்பு சரியானது. மேலே உள்ள அட்டவணை நிராகரிப்பது தொலை தளம் என்ன பெற்றது என்று பார்த்து விதியை ஊகிப்பதாகும்.
நுழைவாயிலிலிருந்து செய்யும் சோதனை குளத்தின் சோதனை அல்ல
நுழைவாயில் தானே உருவாக்கும் போக்குவரத்து ஒருபோதும் prerouting வழியாக செல்லாது, ஏனெனில் அது எந்த இடைமுகத்திலும் வரவில்லை. அது வெளியீட்டு பாதையில் வழிசெலுத்தப்படுகிறது, மூலமாக நுழைவாயிலின் சொந்த முகவரி, வாடிக்கையாளர் வரம்பை அடிப்படையாகக் கொண்ட from விதி பொருந்தாது. இந்தத் துறையில் உள்ள ஒவ்வொரு டிக்கெட்டும் பெட்டியிலிருந்து வேலை செய்கிறது ஆனால் வாடிக்கையாளரிடமிருந்து இல்லை என்று கூறுவது அதே உண்மையின் மீளுரையே.
வாடிக்கையாளரை மதிப்பிடுவதற்குப் பதிலாக அவரைப் பின்பற்றுங்கள். வழிசெலுத்தல் தேடலை நேரடியாகக் கேட்கலாம், மூலமும் உள்வரும் இடைமுகமும் கொடுத்து:
ip route get 198.51.100.9 from 172.31.7.42 iif tun0
ip route get 198.51.100.9 from 172.31.8.42 iif tun0
ip route show table 201ஒவ்வொரு குளத்திற்கும் ஒருமுறை இயக்கவும். இரு கட்டளைகளும் ஒரே இடைமுகத்தைத் திருப்பினால், விதிகள் குளங்களைப் பிரிக்கவில்லை, காரணம் விடுபட்ட விதி அல்லது இரண்டிற்கும் பொருந்தும் அதிக முன்னுரிமை விதி. வெவ்வேறு இடைமுகங்களைத் திருப்பினும் வாடிக்கையாளர் தோல்வியடைந்தால், தவறு தேடலுக்குப் பிறகு உள்ளது, விதிகளைப் பார்ப்பதை நிறுத்தலாம்.
முன்னுரிமை, கோப்பில் உள்ள இடம் அல்ல
விதிகள் முன்னுரிமையின் ஏறுவரிசையில் மதிப்பிடப்படுகின்றன, முக்கியமானது எண்ணே, நீங்கள் தட்டச்சு செய்த வரிசை அல்ல. local அட்டவணை முன்னுரிமை 0 இல், main அட்டவணை 32766 இல், இயல்புநிலை விதி 32767 இல் உள்ளது, அதனால் இயல்புநிலை முன்னுரிமையுடன் சேர்க்கப்பட்ட விதி பட்டியலின் இறுதிக்கு அருகில் விழுந்து கிட்டத்தட்ட அனைத்திற்கும் தோற்கிறது.
ip rule show
ip rule add from 172.31.8.0/24 lookup 201 priority 1000
ip -4 route show table 201வெளிப்படையான முன்னுரிமை கருதப்பட்ட வரிசையை கோப்பிலும் ஆய்விலும் தெரியும்படி செய்கிறது. இது பின்னர் சேர்க்கப்படுவது இருக்கும் விதிக்கு முன் அமைதியாகத் தாண்டுவதையும் தடுக்கிறது, இது செயல்பட்ட கொள்கை தொடர்பற்ற மாற்றத்திற்குப் பிறகு நிற்பதற்கான பொதுவான காரணம்.
முழுமையற்ற அட்டவணையை நோக்கும் பொருந்தும் விதி மற்றொரு பொறி. அட்டவணை 201 இல் இயல்புநிலை வழி உள்ளது ஆனால் இலக்குக்கு வழி இல்லை என்றால், பாக்கெட் நிராகரிக்கப்படும் அல்லது தவறான இடத்திற்கு அனுப்பப்படும், விதி தனியாகப் பார்க்கும்போது முற்றிலும் சரியாகத் தெரிகிறது. விதியை மட்டுமல்ல, அட்டவணையைப் படியுங்கள். விதி ஒரு சுட்டி, காலி அட்டவணை எதுவும் இல்லாத இடத்திற்கான சுட்டி.
திரும்பும் பாதை இன்னும் இருக்க வேண்டும்
மூலக் கொள்கை ஒரு வெளியேற்றத்தைத் தேர்ந்தெடுக்கிறது. அது திரும்பும் பாதையை உருவாக்காது. இரண்டாவது குளம் கூட்டாளர் சுரங்கப்பாதை வழியாக வெளியேறினால், கூட்டாளர் 172.31.8.0/24 ஐ எப்படி அடைவது என்பதை அறிந்திருக்க வேண்டும், நுழைவாயிலுக்குத் திரும்பும் வழியாகவோ அல்லது ஏற்கனவே தெரிந்த மொழிபெயர்க்கப்பட்ட முகவரிகளைப் பெற்றோ.
இவற்றுக்கிடையேயான தேர்வு தெரியும் விளைவுகளைக் கொண்ட வடிவமைப்பு முடிவு. வாடிக்கையாளர் வரம்பைத் திரும்ப வழிசெலுத்துவது கூட்டாளரிடம் ஒவ்வொரு வாடிக்கையாளரின் அடையாளத்தையும் தக்கவைக்கிறது, உங்கள் முன்னொட்டை ஏற்க வேண்டும். மொழிபெயர்ப்பு குளத்தை ஒரு முகவரிக்குப் பின்னால் மறைக்கிறது, கூட்டாளர் அந்த முகவரியை மட்டும் ஏற்க வேண்டும், யார் இணைந்தார் என்பதில் உங்கள் மற்றும் அவரது பதிவுகள் இனி ஒத்துப்போகாத விலையில்.
நீங்கள் எதைத் தேர்ந்தெடுத்தாலும், அதை குள வரையறைக்கு அருகில் எழுதுங்கள். ஒருவரின் நினைவில் மட்டும் இருக்கும் திரும்பும் வழி, கூட்டாளர் ஃபயர்வாலை மாற்றும் வரை நீடித்து, பின்னர் மீண்டும் கட்ட ஒரு நாள் எடுக்கும் விஷயம்.
கொள்கையில் நுழைவாயிலின் சொந்த சுரங்கப்பாதையைப் பிடிக்காதீர்கள்
வாடிக்கையாளர்களுக்கு நீங்கள் எழுதும் விதிகள் நுழைவாயில் உருவாக்கும் போக்குவரத்திற்கும் பொருந்தும், நீங்கள் அதை விலக்காவிட்டால். குறி அல்லது வெளியீட்டு இடைமுகத்தை அடிப்படையாகக் கொண்ட பரந்த விதி நுழைவாயிலின் கூட்டாளருடனான சொந்த இணைப்பைப் பிடிக்கலாம், அப்போது கொள்கையைச் சுமக்கும் சுரங்கப்பாதை கொள்கையால் வழிசெலுத்தப்படுகிறது. இது சேவை வழங்குநரின் குறைபோல் தெரியும் சுழற்சி அல்லது தடையை உருவாக்குகிறது.
ஒவ்வொரு விதியையும் வடிவமைப்பு அனுமதிக்கும் அளவுக்குக் குறுகலாக வைக்கவும்: மூல முன்னொட்டு, உள்வரும் இடைமுகம் மற்றும் ஆதரவு உள்ள இடத்தில் வாடிக்கையாளர் பாக்கெட்டுகள் மட்டும் சுமக்கும் குறி. பின்னர் ஒவ்வொரு விதி மாற்றத்திற்குப் பிறகும் நுழைவாயிலின் சொந்த இணைப்பைச் சோதிக்கவும், ஏனெனில் தவறு தன்னைச் சுட்டிக்கொள்வது மற்றும் வாடிக்கையாளர் சோதனையில் தெரியாது.
ip-rule கையேடு பக்கம் தேர்வியின் மற்றும் முன்னுரிமையின் பொருளை ஆவணப்படுத்துகிறது. அதை ஒவ்வொரு குளத்தின் தேடல் சோதனையுடன் இணைக்கவும், வடிவமைப்பு சரிபார்க்கக்கூடியதாகிறது, இது ஒரு வருடம் நீடிக்கும் கொள்கை வழிசெலுத்தலுக்கும் அனைவரும் தொட பயப்படுவதற்கும் இடையிலான வேறுபாடு.