Mag-ruta sa pagitan ng mga pribadong LAN bago magdagdag ng isa pang NAT

Dalawang panloob na firewall, isang pribadong segment ng transit at isang kahilingang hayaang makausap ng ilang host sa bawat LAN ang nasa isa. Ang repleks ay magtayo ng VPN o magdagdag ng pangalawang sapin ng NAT, at parehong repleks ang mas mahal kaysa sa dapat na halaga ng problema. Sapat ang ordinaryong routing kapag natutugunan ang tatlong kondisyon: hindi nagkakapatung-patong ang mga saklaw ng address, nakapagbabalik ng trapiko ang dalawang panig sa kabilang LAN, at ang segment ng transit ay may sapat nang tiwala para sa datos. Suriin ang tatlong iyon bago magdisenyo ng kahit ano, dahil binabago ng bawat isa ang sagot.

Tatlong kondisyon na nagpapasya sa disenyo

Ang unang kondisyon ay ang espasyo ng address. Kung pareho ang bloke ng RFC 1918 na ginagamit ng dalawang LAN, hindi sila maihihiwalay ng routing at nagiging hindi maiiwasan ang pagsasalin sa halip na opsyonal. Ang pangalawa ay ruta ng pagbalik: walang saysay ang ruta mula A patungong B maliban kung alam din ng B kung paano maabot ang LAN ng A, at ang asimetrikong kaalaman ang pinakakaraniwang dahilan kung bakit tahimik na itinatapon ng rutadong disenyo ang mga sagot.

Ang pangatlo ay tiwala. Inililipat ng routing ang mga packet; hindi nito sila pinoprotektahan. Ang pribadong segment ng transit sa loob ng isang gusali ay iba sa pagbibigay sa isang provider o sa link na tumatawid sa pinagsasaluhang backbone ng kampus. Kung hindi mapagkakatiwalaan ang segment, ang sagot ay tunnel sa pagitan ng dalawang firewall, at ang plano ng routing sa ibaba ay umiiral pa rin sa loob nito.

Mananalo lamang ang simpleng disenyo kapag ang tatlo ay tumuturo sa isang direksyon. Kapag nabigo ang isa, ayusin ang kondisyong iyon nang malinaw sa halip na takpan ito ng pagsasalin, dahil itinatago ng NAT ang pagkabigo sa halip na lutasin ito.

Itayo ang plano ng ruta sa network ng transit

Bigyan ang bawat firewall ng address sa pinagsasaluhang segment at magdagdag ng isang partikular na ruta sa bawat malayong LAN. Wala nang iba sa umiiral na configuration ang kailangang gumalaw, at lalo na ang default na ruta sa internet ay dapat manatili kung saan ito naroon. Ang palitan ang isang default na ruta ng peer firewall ay magpapadala sa bawat walang kaugnayang destinasyon sa transit, na isang pagbabagong mas malaki kaysa sa hinihiling. Inilalarawan ng dokumentasyon ng pfSense tungkol sa static routing ang parehong modelong ruta-plus-gateway para sa platform na iyon, at umiiral ang katumbas na kontrol sa anumang firewall na talagang pinapatakbo mo.

Ang firewall A ay naglilingkod sa 10.30.0.0/24 at ang firewall B ay naglilingkod sa 10.40.0.0/24, habang ang dalawang address ng transit ay nasa 192.0.2.0/24. Pinapanatili ng bawat host ng LAN ang lokal na firewall bilang gateway nito, kaya ang tanging bagong estado ay isang ruta sa bawat panig. Sa firewall na nakabatay sa Linux ganito ang hitsura ng parehong plano, at dapat nakabukas ang forwarding, kung hindi ay mabibigo ang ruta habang itinatapon ang packet.

sysctl -w net.ipv4.ip_forward=1
ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1
ip route get 10.40.0.15
traceroute -n 10.40.0.15

Ihiwalay ang pagsasala sa pagsasalin

Ang routing at patakaran ay magkaibang kontrol, at sa pangalawa talagang nabibigo ang karamihan ng rutadong disenyo. Pahintulutan ang partikular na pinagmulan, destinasyon at serbisyo sa hangganan ng papasok na aktuwal na tinatawid ng mga packet, at tandaan na ang label ng interface tulad ng WAN ay pangalan, hindi pahayag tungkol sa tiwala. Ang port ng transit na may pribadong trapiko ay maaaring naka-enable pa rin ang pagharang ng pribadong address bilang default.

Pagkatapos tingnan ang pagsasalin sa labas bago magpasya na walang NAT na nagaganap. Maaaring isulat muli ng awtomatikong panuntunan sa labas ang trapikong hindi kailanman sinadya para isalin, at sinisira nito ang mga address ng pinagmulan na kailangan ng kabilang panig para sa sarili nitong patakaran at log. Tiyakin na pinapanatili ng mga napiling daloy ang orihinal na address, at hayaang payapa ang mga panuntunan ng pagsasalin sa internet para sa trapikong kailangan pa nila.

iptables -t nat -S POSTROUTING
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni eth1 -c 5 host 10.40.0.15

Kapag ang NAT ang tapat na sagot

Nakukuha ng pagsasalin ang lugar nito kapag tunay na nagkakapatung-patong ang mga saklaw ng address at hindi magagamit ang muling pagbilang, o kapag hinihiling ng patakaran na makita ng isang panig ang isang address sa halip na isang subnet. Sa mga ganitong kaso, ang sadyang pagmamapa ng isa-sa-isa o limitado sa port ay desisyong disenyo na may alam na kahihinatnan, hindi isang pansamantalang solusyon.

Ang kahihinatnang dapat sabihin nang malakas ay hindi na makikita o masesala ng kabilang panig ang mga indibidwal na pinagmulan. Bumabagsak ang mga log sa address na nagsasalin, tumitigil sa paggana ang patakaran sa bawat host, at nagiging paghahanap ang pag-aayos ng problema kung aling panloob na host ang may hawak ng daloy sa isang takdang sandali. Kung wala sa mga ito ang mahalaga para sa trapikong pinag-uusapan, maayos ang NAT.

Kapag ang transit mismo ang maling palagay

Kung ang pinagsasaluhang segment ay tumatawid sa isang provider, pinagsasaluhang switch fabric o anumang landas kung saan mababasa ng ibang partido ang trapiko, hindi kumpletong sagot ang routing lamang. Ang tunnel sa pagitan ng dalawang firewall ay nagbibigay sa iyo ng pagiging kumpidensyal at pagpapatunay ng kapares, at ang talahanayan ng ruta sa loob nito ay ang parehong talahanayan na isusulat mo sa transit.

Pagpasyahan ito batay sa tanong ng tiwala sa unang seksyon, hindi sa kinaugaliang mas ligtas ang mga VPN. Ang tunnel sa ibabaw ng segment na pribado na ay nagdaragdag ng gastos sa pagpapatakbo at isa pang paraan ng pagkabigo nang walang napapala, samantalang ang routing sa ibabaw ng hindi mapagkakatiwalaang segment ay nagpapalit ng pagiging kumpidensyal sa kagaanang hindi mo kayang bayaran. Isulat kung alin sa tatlong kondisyon ang nagtulak sa pagpili, at hindi na kailangang pagtalunan muli ito ng susunod na inhinyero.