Trafiki ọ̀nà kan lẹ́yìn pípa SNAT subnet Tailscale

Pa NAT orísun lórí router subnet Tailscale, tunnel yóò máa ṣiṣẹ́ nígbà tí àwọn ìsopọ̀ tó ń gba inú rẹ̀ yóò dá. Àwọn ìbéèrè dé ibi tí wọ́n ń lọ pẹ̀lú àdírẹ́sì overlay ti aláìsí ọ̀nà náà fúnra rẹ̀, èyí tó jẹ́ èròǹgbà ìyípadà, àti àwọn ìdáhùn nílò ọ̀nà tí LAN kò ní láti mọ̀ rí. Láìsí ọ̀nà yẹn àwọn pákẹ́ẹ̀tì ń balẹ̀, àwọn ìdáhùn ń jáde gba gateway déédéé, àti àìṣeyọrí náà ń farahàn bí ìṣòro firewall tí kò sí ìlànà firewall tó ń ṣàlàyé rẹ̀. Tunnel náà dá; apá àpadà kù.

Ohun tí SNAT fi pamọ́

Nígbà tí SNAT wà lórí, router ń tún àdírẹ́sì orísun kọ sí àdírẹ́sì LAN tirẹ̀ kí ó tó gbé lọ sí subnet, nítorí náà ibi tí wọ́n ń lọ ń dáhùn fún ẹ̀rọ tí ó ti mọ bí yóò dé ọ̀dọ̀ rẹ̀, kò sì sí ohun mìíràn tó ní láti ṣètò. Pípa rẹ̀ ń pa orísun ìpilẹ̀ mọ́, ibi tí wọ́n ń lọ sì ń rí àdírẹ́sì nínú ìwọ̀n overlay dípò aládùúgbò lórí okùn tirẹ̀. Àdírẹ́sì yẹn jẹ́ gidi, a sì lè darí rẹ̀ káàkiri tailnet, ṣùgbọ́n kò lè dé ọ̀dọ̀ rẹ̀ láti LAN gba gateway àkọ́kọ́. Yíyí tí wọ́n kọ sílẹ̀ ni --snat-subnet-routes=false, tí a ń lò lórí router subnet Linux fúnra rẹ̀.

Èyí jẹ́ ètò tó dúró ṣinṣin kì í ṣe yíyí fún pákẹ́ẹ̀tì kọ̀ọ̀kan, nítorí náà ọ̀nà àpadà gbọ́dọ̀ wà fún gbogbo nẹ́tíwọ́kì ibi tí wọ́n ń lọ tí router yẹn ń ṣiṣẹ́ fún. Ìyẹn ni ó ń sọ ìyípadà náà di ìpinnu ìgbékalẹ̀ dípò pátákó ìfọwọ́sí. Gbogbo ohun tí router yẹn ń ṣiṣẹ́ fún yóò jogún ìbéèrè náà ní àkókò kan náà.

Ibẹ tí ọ̀nà àpadà lè wà

Ibùdó mẹ́ta wọ́pọ̀, wọ́n sì yàtọ̀ ní ìdé ọ̀nà kì í ṣe ní ìtọ́. Ọ̀nà àdúró lórí ẹ̀rọ ibi tí wọ́n ń lọ ni ó tààrà jù, ó sì kéré jù ní ìmúdàgba, nítorí gbogbo ẹ̀rọ nílò ẹ̀dà tirẹ̀. Tábìlì ọ̀nà nínú VPC tàbí nínú router ibùdó ń bo gbogbo nẹ́tíwọ́kì lẹ́ẹ̀kan, àti àṣàyàn DHCP tó ń gbé àwọn ọ̀nà àdúró tí kò ní kíláàsì dé ọ̀dọ̀ àwọn aláìsí ní àìdásí, ṣùgbọ́n ó ń kùnà ní ìdákẹ́jẹ́ lórí àwọn ẹ̀rọ tí wọ́n ṣàìkíyèsí rẹ̀.

ip route add 100.64.0.0/10 via 192.168.1.10
ip route get 100.64.0.5

Ibùdó èyíkéyìí tí o bá yàn, ìgbésẹ̀ tó ń tẹ̀lé ni àdírẹ́sì LAN ti router, kì í sì í ṣe àdírẹ́sì tailnet rẹ̀ rárá. Ẹ̀rọ LAN kò lè dé overlay títí tí yóò fi ní ọ̀nà yìí, nítorí náà ìgbésẹ̀ tó ń tẹ̀lé nínú overlay jẹ́ ìyípo, kò sì ń fi pákẹ́ẹ̀tì ránṣẹ́ sí ibikíbi. Àṣìṣe kan náà ni ó ń ṣàlàyé ọ̀pọ̀lọpọ̀ ìṣètò tí ó dàbí ẹni pé ó tọ́ tí ó sì ń kùnà, ó sì ń yege gbogbo àyẹ̀wò tí ó kàn ń ka tábìlì router fúnra rẹ̀. Kọ ibùdó tí o lò sílẹ̀, bí bẹ́ẹ̀ kọ́ ẹni tó ń bọ̀ yóò dán èyí tí kò tọ́ wò.

Kíkà àìṣeyọrí bí trafiki ọ̀nà kan

Àmì rẹ̀ rọrùn láti dá mọ̀ ju ohun tó fà á lọ: iṣẹ́ náà ń dáhùn lórí router fúnra rẹ̀, ó sì ń dákẹ́ láti ọ̀dọ̀ aláìsí tó wà ní ọ̀nà jìnnà. Gbígba lórí ibi tí wọ́n ń lọ ń fi hàn pé àwọn ìbéèrè ń dé, àwọn ìdáhùn sì ń jáde, èyí tó dàbí àṣeyọrí títí tí ìwọ yóò fi kíyèsí ibi tí àwọn ìdáhùn yẹn ń lọ. Wọ́n ń lọ sí gateway àkọ́kọ́, èyí tó túmọ̀ sí pé apá tó ń wọlé ṣiṣẹ́, apá àpadà kò ṣiṣẹ́.

Gbà lórí router níbàá lọ, nítorí pé ó ń rí ojú méjèèjì ìpààrọ̀ kan, ó sì ń fi hàn bóyá ìdáhùn ti dé rí. Tí ìdáhùn bá farahàn lórí ibi tí wọ́n ń lọ ṣùgbọ́n kò farahàn lórí router, ọ̀nà náà kù tàbí kò tọ́ ní ẹ̀gbẹ́ ibi tí wọ́n ń lọ. Tí ó bá farahàn lórí router, tí ó sì dúró níbẹ̀, ìṣòro náà wà níwájú, ó sì jẹ́ ti ìwádìí mìíràn.

sudo tcpdump -ni any host 100.64.0.5
ip route get 100.64.0.5

Ṣé àdírẹ́sì gidi yẹ fún ọ̀nà

Pípa SNAT mọ́ ni ìdáhùn tó rọrùn jù nígbàkigbà tí a kò lè tún nẹ́tíwọ́kì ibi tí wọ́n ń lọ ṣètò, ìye rẹ̀ sì ni pé gbogbo aláìsí dàbí router nínú àwọn àkọsílẹ̀ àti ìlànà ibi tí wọ́n ń lọ. Pípa rẹ̀ jẹ́ ẹ̀tọ́ nígbà tí ohun èlò kan nílò àdírẹ́sì orísun gidi tàbí nígbà tí ìlànà nẹ́tíwọ́kì gbọ́dọ̀ yàtọ̀ sí àwọn aláìsí tí wọ́n ń pín router kan. Méjèèjì jẹ́ ìdí tó tọ́, kò sì sí ọ̀kan tó jẹ́ ọ̀fẹ́. Àǹfààní náà gbọ́dọ̀ yẹ fún pípa ọ̀nà mọ́ lórí gbogbo nẹ́tíwọ́kì ibi tí wọ́n ń lọ, pẹ̀lú àyẹ̀wò firewall tí a ṣàlàyé ní ìsàlẹ̀.

Fún LAN kékeré kan, pàṣípààrọ̀ náà sábà máa ń san, nígbà tí fún ọ̀pọ̀ ẹ̀rọ tí kò lè gba ọ̀nà àdúró, kì í sábà san. Kọ ìpinnu àti ìdí sílẹ̀ lẹ́gbẹ̀ẹ́ ìṣètò router, kí olùdarí tó ń bọ̀ lè mọ ìhùwàsí wo ni a mọ̀ọ́mọ̀ ṣe. Ìpilẹ̀ tí ẹnikẹ́ni kò kọ sílẹ̀ kò lè yàtọ̀ sí àìkíyèsí.

Firewall, gbígbàsílẹ̀ àti ipa ìlọ́po méjì

Gbogbo ìlànà tí ó bá àdírẹ́sì LAN router mu báyìí ń bá orísun mìíràn mu, pẹ̀lú àwọn ìlànà ìyọ̀nda àti gbogbo pápá àkọsílẹ̀ tí ó kọ router sílẹ̀ gẹ́gẹ́ bí aláìsí. Ka àwọn ìlànà yẹn kí ìdánwò àkọ́kọ́ tó wáyé, kì í ṣe lẹ́yìn àìṣeyọrí àkọ́kọ́, nítorí ìlànà tí ó kàn ń yọ̀nda àdírẹ́sì router yóò dí orísun tuntun lọ́nà pátápátá. Dín ìrọ́pò náà kù sí àwọn aláìsí àti ibùdó tí wọ́n nílò rẹ̀, lẹ́yìn náà jẹ́rìí pé kò gba gbogbo tailnet ní ìdákẹ́jẹ́.

sudo nft list ruleset | grep -n '100\.64'
sudo iptables-save | grep -n '100\.64'

Nódù kan tí ó ń ṣiṣẹ́ gẹ́gẹ́ bí nódù àbájáde àti router subnet lẹ́ẹ̀kan náà jẹ́ àkópọ̀ tí a kọ sílẹ̀ tí ó lè sọ trafiki òkè nù nígbà tí a bá pa SNAT subnet. Yíyà àwọn ipa yẹn sí àwọn nódù ọ̀tọ̀ọ̀tọ̀ ń mú ìkìlọ̀ yẹn kúrò, ó sì ń fún gbogbo ọ̀nà àti ìlànà firewall ní olúwa kan. Tí àwọn ipa bá gbọ́dọ̀ wà papọ̀, retí ìhùwàsí yẹn kí o sì dán an wò kí o tó dá aláìsí lẹ́bi. Pa ọ̀nà, ètò yíyí àti pípín ipa mọ́ nínú àkọsílẹ̀ kan, nítorí a ń kà wọ́n papọ̀ nígbà tí ìsopọ̀ tó ń bọ̀ bá kùnà.