NAT ti LAN nipasẹ tun0 lori ẹnu-ọ̀nà VPN OpenBSD

Àwọn onímọ̀-ẹ̀rọ méjì tí wọ́n ní ẹnu-ọ̀nà OpenBSD kan náà maa ń fún ọ ní àwọn òfin méjì ọ̀tọ̀ọ̀tọ̀ láti dé ìsopọ̀ ìjìnlẹ̀, àti pé a lè gbèjà èyí tí ó wù ú. Yíyan láàrin ìtumọ̀ orísun àti ọ̀nà àpadà kì í ṣe ìbéèrè ìlà-ọ̀rọ̀ rárá. Gbogbo rẹ̀ sinmi lórí ohun tí ẹ̀gbẹ́ kejì ti mọ̀ nípa 192.168.88.0/24 àti ohun tí o nílò láti tọ́jú nínú àkọsílẹ̀ rẹ. Tí o bá ṣe àṣìṣe níbí, ìlà nat-to yóò dàbí ẹni pé ó tọ́ pátápátá nígbà tí àwọn ìdáhùn yóò sọnù sínú ẹnu-ọ̀nà àìdí-ẹ̀dá ti ẹ̀gbẹ́ kejì.

Ìtọ́nà àti àtúnsílẹ̀ ń dáhùn àwọn ìbéèrè ọ̀tọ̀ọ̀tọ̀

Tábìlì ìtọ́nà pinnu pé a lè dé 172.20.0.0/16 nípasẹ̀ tunnel, àti pé ìpinnu yẹn ṣẹlẹ̀ kí a tó gbọ̀ràn ìtumọ̀ pf kankan. Lẹ́yìn náà ìtumọ̀ orísun yí orí àpò náà padà kí ẹ̀gbẹ́ ìjìnlẹ̀ lè rí àdírẹ́sì tun0 ti ẹnu-ọ̀nà dípò ẹrọ LAN. Kò sí ọ̀nà kan tí ó rọ́pò èkejì: òfin nat kò lè dá ọ̀nà, ọ̀nà kò sì lè yí ẹ̀rọ ìtọ́nà ìjìnlẹ̀ kan tí kò tíì gbọ́ nípa ẹ̀ka nẹ́tíìkì rẹ lórí. Nígbà tí ẹ̀gbẹ́ kejì kò bá ní ọ̀nà àpadà, a maa ń sọ àwọn ìdáhùn nù tàbí a maa ń rán wọn sí ẹnu-ọ̀nà àìdí-ẹ̀dá rẹ̀, kò sì sí ìṣàtúnṣe òfin tí ó lè tún èyí ṣe.

Ní àkópọ̀, gbígbé jáde ń dáhùn ibi tí ìjágun ń lọ, ìtumọ̀ sì ń dáhùn ibi tí ó dàbí pé ó ti wá. Tọ́jú àwọn méjèèjì nínú àwọn àpótí èrò yàtọ̀ nígbà tí o ń ṣe àpẹẹrẹ àwọn òfin.

Àwọn ipò mẹ́ta tí ó pinnu

Béèrè ìbéèrè mẹ́ta lẹ́sẹẹsẹ, àpẹẹrẹ sì maa ń yan ara rẹ̀ ní ọ̀pọ̀ ìgbà. Ṣé ìsopọ̀ ìjìnlẹ̀ ní ọ̀nà ìdúró tí ó ń tọ́ka sí àdírẹ́sì tunnel fún 192.168.88.0/24, tàbí olùdarí rẹ̀ ni ó ń ṣàkóso àwọn ẹ̀rọ ìtọ́nà lórí ọ̀nà yẹn? Bí bẹ́ẹ̀, jẹ́ kí àwọn àdírẹ́sì LAN rìnrìn àjò láìyípadà kí o sì fo ìtumọ̀ kọjá pátápátá. Ṣé o nílò ìríran fún oníbàárà kọ̀ọ̀kan ní ẹ̀gbẹ́ kejì, yálà fún ìlànà ànìtó tàbí fún àkọsílẹ̀ àyẹ̀wò? Bí o bá nílò, pípa orísun mọ́ yẹ ní ìtóye fún iṣẹ́ ìtọ́nà. Ṣé àdírẹ́stunnel dúró gbọn-in tó láti kọ sínú ọ̀nà ìjìnlẹ̀, tàbí ó ń yípadà láàrin àwọn ìsopọ̀ àtúnṣe?

Bí èyíkéyìí ìdáhùn bá jẹ́ rárá tàbí àìmọ̀, nat-to ni àṣàyàn tí ó wúlò, ó sì tún ṣe é yí padà. Òfin ìtumọ̀ kan máa ń jáde ní ìlà kan ní kété tí ẹ̀gbẹ́ kejì bá fi ọ̀nà tí ó tọ́ kún. Ọ̀nà àpadà tí a kò tíì fi sórí ẹ̀rọ rí maa ń gba okùn àtìlẹ́yìn kan lọ́wọ́ rẹ ní gbogbo ìgbà tí ẹnìkan bá béèrè ìdí tí tunnel fi ń ṣiṣẹ́ ní ẹ̀gbẹ́ kan ṣoṣo.

Gbé àpá náà sí ibi tí pf yóò ti gbé e yẹ̀wò ní tòótọ́

Àpá tí ó wà nísàlẹ̀ yìí ro pé LAN ni 192.168.88.0/24, ìsopọ̀ ìjìnlẹ̀ ni 172.20.0.0/16, àti pé tunnel ni ìsopọ̀-artunnel. Kò sí ohun tí ó ń yan ìgbésẹ̀ tí ó tẹ̀lé. Ó kìkì ń tún orísun kọ lórí àwọn àpò tí wọ́n ti ń jáde nípasẹ̀ tun0.

match out on tun0 inet from 192.168.88.0/24 to 172.20.0.0/16 nat-to (tun0)
pass in on em0 inet from 192.168.88.0/24 to any keep state

Àwọn kúlẹ̀kúlẹ̀ méjì nínú ìlà àkọ́kọ́ yẹn ni ó ru ẹrù tí ó pọ̀ jù. Àwọn àmú-ìdì yí tunnel sọ fún pf pé kí ó ka àdírẹ́sì ìsopọ̀-ara ní gbogbo ìgbà tí ó bá ń kọ́ àkọsílẹ̀ ipò, èyí tí ó ṣe pàtàkì nígbà tí a bá tún tun0 nọ́mbà lẹ́yìn ìsopọ̀ àtúnṣe. Ọ̀rọ̀ match túmọ̀ sí pé òfin ń tún kọ lẹ́yìn náà ó ń ṣubú lọ, nítorí náà òfin pass ọ̀tọ̀ ṣì gbọdọ̀ gbà ṣíṣàn náà láàyè. Ìsopọ̀-ara tí a dárúkọ nínú ìlà match gbọdọ̀ tún jẹ́ èyí tí tábìlì ìtọ́nà yan, bí bẹ́ẹ̀ kọ́ pf yóò gbé òfin yẹ̀wò lórí ọ̀nà jáde mìíràn ju èyí tí àpò ń gbà ní tòótọ́.

Má gbàgbé ẹ̀gbẹ́ kọ́nránnù. Gbígbé IPv4 jáde gbọdọ̀ wà ní ṣíṣí, àwọn òfin pass tí ó ní ipò fún tunnel àti LAN gbọdọ̀ wà kí gbogbo èyí tó ní ìtumọ̀. Apá PF NAT nínú FAQ OpenBSD ni ìtọ́kasí tí ó tọ́ fún lẹ́sẹẹsẹ àwọn ọ̀rọ̀ kọ́kọ́ níbí.

Ṣàyẹ̀wò àwọn òfin kí o tó gbẹ́kẹ̀ lé ìjágun

Kọ́kọ́ ṣàyẹ̀wò ìlà-ọ̀rọ̀ pẹ̀lú pfctl -nf /etc/pf.conf, èyí tí ó ń ṣàyẹ̀wò fáìlì láì gbé e sórí ẹ̀rọ. Lẹ́yìn náà gbé ìlànà sórí ẹ̀rọ kí o sì kà ohun tí kọ́nránnù ń gbé ní tòótọ́, nítorí òfin tí a ṣàyẹ̀wò dáadáa ṣì lè wà ní òjìji tàbí a lè so ó mọ́ ìsopọ̀-ara tí kò tọ́. pfctl -sn ń tẹ àwọn òfin ìtumọ̀ jáde ní ìrísí tí a gbé sórí ẹ̀rọ, pfctl -sr sì ń tẹ àwọn òfin àyọkúrò jáde ní lẹ́sẹẹsẹ ìgbéléwọ̀n.

Lẹ́yìn náà wo okùn náà. Lórí ẹnu-ọ̀nà, tcpdump -ni tun0 'host 172.20.0.10' fi hàn bóyá àdírẹ́sì orísun tí ó ń jáde nínú tunnel ni àdírẹ́stunnel tàbí ẹrọ LAN. netstat -rn -f inet kíákíá ń jẹ́rìí ìsopọ̀-ara tí ibi-àfojúsùn yóò yanjú sí. Nígbà tí ìjágun bá bẹ̀rẹ̀ sí ṣàn, pfctl -ss ń ṣe àkójọ àwọn àkọsílẹ̀ ipò; bí ṣíṣàn kan kò bá dá ipò, àpò náà kò tíì bá òfin tí ó ń dá ipò kan pàdé rí.

Bí ẹ̀gbẹ́ tunnel bá dàbí ẹni tí ó tọ́ tí àwọn ìdáhùn kò sì dé, dá ṣíṣàtúnṣe pf dúró. Àṣìṣe tí ó kù wà lórí ẹ̀rọ ìtọ́nà ìjìnlẹ̀, níbi tí a ti ń rán ìdáhùn náà sí àdírẹ́sì aládàáni tí ẹ̀gbẹ́ yẹn kò lè dé.

Nígbà tí ìtumọ̀ bá ná owó ju èyí tí ó ń fi pamọ́

Ìtumọ̀ ń fi àwọn oníbàárà pamọ́, nígbà mìíràn ìyẹn gan-an ni ìpààrọ̀ tí kò tọ́. Àwọn ẹ̀ka nẹ́tíìkì tí ó ń wọ́ ara wọn ni ọ̀kan: bí ẹ̀gbẹ́ kejì bá tún ń lo 192.168.88.0/24 ní inú, fífi àwọn ẹrọ LAN hàn gẹ́gẹ́ bí ẹnu-ọ̀nà ń mú ìforígbágun burú sí i dípò kí ó mú ó dára. Àwọn ìlànà IPsec tí ó ń yan ìjágun nípasẹ̀ àdírẹ́sì méjì ni ọ̀kan mìíràn, nítorí a ń fi àkójọ-ìmọ̀ ìlànà ààbò wé kí a tó ṣe ìtumọ̀, kò sì ní rí àpò tí o tún kọ rí. Ìgbékalẹ̀ èyíkéyìí tí ó ń gba owó, tí ó ń dín, tàbí tí ó ń ṣàyẹ̀wò fún olùlò kọ̀ọ̀kan pẹ̀lú ń pàdánù ìdánimọ̀ tí ó nílò ní àkókò tí orísun bá ṣubú sí àdírẹ́sì kan.

Àwọn àtẹ̀jáde pf tí a lè gbé ká ni pẹ̀tẹ́lẹ̀ ọ̀tọ̀. Àwọn ọjà tí wọ́n ń dá àwọn fáìlì òfin tiwọn ń retí pé kí a ṣètò NAT nípasẹ̀ ìsopọ̀-ara wọn, àwọn àpá tí a fi ọwọ́ ṣàtúnṣe yóò sì di àtẹ̀jáde lórí ní ìgbé-sórí ẹ̀rọ tí ó tẹ̀lé. Àwọn òfin tí a dà kọ láti inú àwọn ìtọ́sọ́nà tí a kọ kí ọ̀rọ̀ kọ́kọ́ match tó wà kò níí gbé sórí kọ́nránnù ìsinsìnyí, nítorí náà gbé ìlà-ọ̀rọ̀ lọ kí o sì ka àṣìṣe dípò ṣíṣe àfojúsùn.

Òfin ìpinnu tí ó ń là kọjá ìfarakanra pẹ̀lú àwọn nẹ́tíìkì gidi kúkúrú: fi ọ̀nà àpadà sórí ẹ̀rọ nígbà tí o bá lè, túmọ̀ nígbà tí o kò bá lè, kí o sì kọ ipò wo nínú mẹ́ta náà tí ó mú kí o yan bẹ́ẹ̀. Àkọsílẹ̀ yẹn ń fi ọ̀sán kan pamọ́ fún ẹni tí ó tẹ̀lé.