మరో NAT జోడించే ముందు ప్రైవేట్ LAN ల మధ్య రూటింగ్ చేయండి
అతివ్యాప్తి చెందే చిరునామా స్థలం, లేని తిరిగి వచ్చే మార్గం లేదా నమ్మదగని ట్రాన్సిట్ రూటింగ్, NAT మరియు సొరంగం మధ్య ఎంపికను నిర్ణయిస్తాయి. ఫైర్వాల్ను సవరించే ముందు ఈ మూడింటిని తనిఖీ చేయండి.
రెండు అంతర్గత ఫైర్వాల్లు, ఒక ప్రైవేట్ ట్రాన్సిట్ విభాగం, మరియు ప్రతి LAN లోని కొన్ని హోస్ట్లు మరొకదానితో మాట్లాడటానికి అనుమతించమని అభ్యర్థన. సాధారణ స్పందన VPN నిలబెట్టడం లేదా రెండవ NAT పొరను జోడించడం, రెండు స్పందనలు సమస్యకు తగిన దానికంటే ఎక్కువ ఖర్చు చేస్తాయి. మూడు షరతులు నెరవేరినప్పుడు సాధారణ రూటింగ్ సరిపోతుంది: చిరునామా పరిధులు అతివ్యాప్తి చెందవు, రెండు వైపులా మరో LAN కి ట్రాఫిక్ను తిరిగి పంపగలవు, మరియు ట్రాన్సిట్ విభాగం డేటా కోసం ఇప్పటికే తగినంత నమ్మదగినది. ఏదైనా రూపకల్పన చేసే ముందు ఈ మూడింటిని తనిఖీ చేయండి, ఎందుకంటే ప్రతి ఒక్కటి సమాధానాన్ని మారుస్తుంది.
రూపకల్పనను నిర్ణయించే మూడు షరతులు
మొదటి షరతు చిరునామా స్థలం. రెండు LAN లు ఒకే RFC 1918 బ్లాక్ను ఉపయోగిస్తే, రూటింగ్ వాటిని వేరు చేయలేదు మరియు అనువాదం ఐచ్ఛికం కాకుండా తప్పనిసరి అవుతుంది. రెండవది తిరిగి వచ్చే మార్గం: A నుండి B కి మార్గం, B కూడా A యొక్క LAN ను ఎలా చేరుకోవాలో తెలియకపోతే నిష్ప్రయోజనం, అసమాన జ్ఞానమే రూటెడ్ రూపకల్పన సమాధానాలను నిశ్శబ్దంగా వదిలేయడానికి సాధారణ కారణం.
మూడవది నమ్మకం. రూటింగ్ ప్యాకెట్లను కదిలిస్తుంది; వాటిని రక్షించదు. ఒకే భవనంలోని ప్రైవేట్ ట్రాన్సిట్ విభాగం, ప్రొవైడర్కు అప్పగించడం లేదా భాగస్వామ్య క్యాంపస్ వెన్నెముకను దాటే లింక్ కంటే భిన్నమైన విషయం. విభాగం నమ్మదగనిది అయితే, సమాధానం రెండు ఫైర్వాల్ల మధ్య సొరంగం, మరియు క్రింది రూటింగ్ ప్రణాళిక దాని లోపల కూడా వర్తిస్తుంది.
మూడూ ఒకే దిశలో చూపినప్పుడే సరళమైన రూపకల్పన గెలుస్తుంది. వాటిలో ఒకటి విఫలమైతే, అనువాదంతో కప్పివేయకుండా ఆ షరతును స్పష్టంగా సరిచేయండి, ఎందుకంటే NAT వైఫల్యాన్ని దాచుతుంది, పరిష్కరించదు.
ట్రాన్సిట్ నెట్వర్క్పై రూట్ ప్రణాళికను నిర్మించండి
ప్రతి ఫైర్వాల్కు భాగస్వామ్య విభాగంలో ఒక చిరునామా ఇవ్వండి మరియు ప్రతి దూరపు LAN కి ఒక నిర్దిష్ట మార్గాన్ని జోడించండి. ఇప్పటికే ఉన్న కాన్ఫిగరేషన్లో మరేదీ కదలాల్సిన అవసరం లేదు, ముఖ్యంగా ఇంటర్నెట్ డిఫాల్ట్ మార్గం ఉన్న చోటే ఉండాలి. డిఫాల్ట్ మార్గాన్ని సహచర ఫైర్వాల్తో భర్తీ చేస్తే ప్రతి సంబంధం లేని గమ్యస్థానం ట్రాన్సిట్ గుండా వెళ్తుంది, అది అడిగిన మార్పు కంటే చాలా పెద్దది. pfSense యొక్క స్థిర రూటింగ్ పత్రం ఆ ప్లాట్ఫారమ్ కోసం అదే మార్గం-ప్లస్-గేట్వే నమూనాను వివరిస్తుంది, మరియు మీరు నిజంగా నడిపే ఏ ఫైర్వాల్లోనైనా సమానమైన నియంత్రణ ఉంటుంది.
| Firewall | Remote LAN | Next hop on the transit |
|---|---|---|
| A | 10.40.0.0/24 | 192.0.2.20 |
| B | 10.30.0.0/24 | 192.0.2.10 |
ఫైర్వాల్ A 10.30.0.0/24 కి సేవ చేస్తుంది, ఫైర్వాల్ B 10.40.0.0/24 కి, రెండు ట్రాన్సిట్ చిరునామాలు 192.0.2.0/24 లో ఉన్నాయి. ప్రతి LAN హోస్ట్ తన స్థానిక ఫైర్వాల్ను గేట్వేగా ఉంచుకుంటుంది, కాబట్టి కొత్త స్థితి ప్రతి వైపు ఒక మార్గం మాత్రమే. Linux ఆధారిత ఫైర్వాల్లో అదే ప్రణాళిక ఇలా కనిపిస్తుంది, మరియు ఫార్వర్డింగ్ ప్రారంభించబడాలి, లేకపోతే మార్గం పరిష్కరమవుతుంది కానీ ప్యాకెట్ పడవేయబడుతుంది.
sysctl -w net.ipv4.ip_forward=1 ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1 ip route get 10.40.0.15 traceroute -n 10.40.0.15
ఫిల్టరింగ్ను అనువాదం నుండి వేరుగా ఉంచండి
రూటింగ్ మరియు విధానం వేర్వేరు నియంత్రణలు, రెండవదానిలోనే చాలా రూటెడ్ రూపకల్పనలు నిజంగా విఫలమవుతాయి. ప్యాకెట్లు నిజంగా దాటే ఇన్గ్రెస్ సరిహద్దులో నిర్దిష్ట మూలాలు, గమ్యస్థానాలు మరియు సేవలను అనుమతించండి, మరియు WAN వంటి ఇంటర్ఫేస్ లేబుల్ ఒక పేరు, నమ్మకం గురించిన ప్రకటన కాదని గుర్తుంచుకోండి. ప్రైవేట్ ట్రాఫిక్ మోసే ట్రాన్సిట్ పోర్టులో ప్రైవేట్ చిరునామా నిరోధం ఇప్పటికీ డిఫాల్ట్గా ప్రారంభించబడి ఉండవచ్చు.
తర్వాత NAT జరగడం లేదని నిర్ధారించే ముందు బయటకు వెళ్లే అనువాదాన్ని చూడండి. స్వీయ బయటకు వెళ్లే నియమాలు ఎప్పుడూ అనువాదం కోసం ఉద్దేశించని ట్రాఫిక్ను తిరిగి రాయగలవు, అది రెండో వైపు తన సొంత విధానం మరియు లాగ్లకు అవసరమైన మూల చిరునామాలను నాశనం చేస్తుంది. ఎంచుకున్న ప్రవాహాలు వాటి అసలు చిరునామాలను నిలుపుకుంటాయని నిర్ధారించండి, మరియు ఇంకా అవసరమైన ట్రాఫిక్ కోసం ఇంటర్నెట్ అనువాద నియమాలను యథాతథంగా వదిలేయండి.
iptables -t nat -S POSTROUTING iptables -t nat -L POSTROUTING -n -v tcpdump -ni eth1 -c 5 host 10.40.0.15
NAT నిజాయితీ సమాధానం అయినప్పుడు
చిరునామా పరిధులు నిజంగా అతివ్యాప్తి చెందినప్పుడు మరియు పునఃసంఖ్యీకరణ అందుబాటులో లేనప్పుడు, లేదా ఒక వైపు ఉపనెట్వర్క్కు బదులు ఒకే చిరునామాను చూడాలని విధానం కోరినప్పుడు అనువాదం తన స్థానాన్ని పొందుతుంది. అలాంటి సందర్భాల్లో ఉద్దేశపూర్వకంగా చేసే ఒకదానికొకటి లేదా పోర్టు-పరిమిత మ్యాపింగ్ తెలిసిన పరిణామాలతో కూడిన రూపకల్పన నిర్ణయం, పని నెట్టుకొచ్చే మార్గం కాదు.
బిగ్గరగా చెప్పాల్సిన పరిణామం ఏమిటంటే, రెండో వైపు ఇకపై వ్యక్తిగత మూలాలను చూడలేదు లేదా ఫిల్టర్ చేయలేదు. లాగ్లు అనువదించే చిరునామాకు కుదించబడతాయి, ప్రతి-హోస్ట్ విధానం పనిచేయడం ఆగిపోతుంది, మరియు సమస్య పరిష్కారం ఒక నిర్దిష్ట క్షణంలో ఏ అంతర్గత హోస్ట్ ప్రవాహాన్ని కలిగి ఉందో వెతకడంగా మారుతుంది. ప్రశ్నలోని ట్రాఫిక్కు వీటిలో ఏదీ ముఖ్యం కాకపోతే, NAT సరే.
ట్రాన్సిట్ దానంతటదే తప్పు ఊహ అయినప్పుడు
భాగస్వామ్య విభాగం ప్రొవైడర్, భాగస్వామ్య స్విచ్ ఫ్యాబ్రిక్, లేదా మరో పక్షం ట్రాఫిక్ను చదవగల ఏదైనా మార్గం దాటితే, రూటింగ్ మాత్రమే పూర్తి సమాధానం కాదు. రెండు ఫైర్వాల్ల మధ్య సొరంగం మీకు గోప్యతను మరియు సహచర నిర్ధారణను ఇస్తుంది, మరియు దాని లోపలి రూట్ పట్టిక మీరు ట్రాన్సిట్పై రాసే అదే పట్టిక.
దీన్ని మొదటి విభాగంలోని నమ్మకం ప్రశ్న నుండి నిర్ణయించండి, VPN ఎక్కువ సురక్షితం అనే అలవాటు నుండి కాదు. ఇప్పటికే ప్రైవేట్గా ఉన్న విభాగంపై సొరంగం ఎలాంటి ప్రయోజనం లేకుండా నిర్వహణ ఖర్చు మరియు మరో వైఫల్య మార్గాన్ని జోడిస్తుంది, నమ్మదగని విభాగంపై రూటింగ్ మీరు భరించలేని సరళత కోసం గోప్యతను మారుస్తుంది. మూడు షరతుల్లో ఏది ఎంపికను నడిపించిందో రాసుకోండి, తదుపరి ఇంజనీర్ దాన్ని మళ్లీ చర్చించాల్సిన అవసరం లేదు.