Ṣe ìtọ́ni laaarin àwọn LAN àdáni ṣáájú kí o tó fi NAT mìíràn kún

Méjì firewall inú, ẹ̀ka ìrékọjá àdáni kan, àti ìbéèrè láti jẹ́ kí àwọn host mélòó kan nínú LAN kọ̀ọ̀kan bá ti ẹlòmíràn sọ̀rọ̀. Ìhùwàsí àdámọ̀ ni láti gbé VPN ró tàbí fi ẹ̀yà NAT kejì kún, àti pé àwọn ìhùwàsí méjèèjì náà wọ́n ju bí ìṣòro náà ti yẹ lọ. Ìtọ́ni lasan tó nígbà tí àwọn ipò mẹ́ta bá pé: àwọn ìlà àdírẹ́sì kò papọ̀, ẹ̀gbẹ́ méjèèjì lè dá ìtàkùn padà sínú LAN kejì, àti pé a gbẹ́kẹ̀lé ẹ̀ka ìrékọjá náà tó fún dátà. Ṣàyẹ̀wò àwọn mẹ́tẹ̀ẹ̀ta yẹn ṣáájú kí o tó ṣe àpẹẹrẹ kankan, nítorí ọ̀kọ̀ọ̀kan wọn yí ìdáhùn padà.

Àwọn ipò mẹ́ta tí ó pinnu àpẹẹrẹ náà

Ipò àkọ́kọ́ ni ààyè àdírẹ́sì. Bí LAN méjèèjì bá ń lo blọ́ọ̀kù RFC 1918 kan náà, ìtọ́ni kò lè yà wọ́n sọ́tọ̀, ìtumọ̀ sì di dandan dípò àṣàyàn. Èkejì ni ọ̀nà ìpadà: ọ̀nà láti A dé B kò wúlò bí B kò bá mọ bí a ṣe lè dé LAN A, àti ìmọ̀ aláìdọ́gba ni ìdí tí ó wọ́pọ̀ jùlọ tí àpẹẹrẹ tí a tọ́ sọ́nà fi ń sọ àwọn ìdáhùn nù ní ìdákẹ́jẹ́.

Ẹ̀kẹta ni ìgbẹ́kẹ̀lé. Ìtọ́ni ń gbé àwọn pákẹ́tì; kò dáàbò bò wọ́n. Ẹ̀ka ìrékọjá àdáni nínú ilé kan yàtọ̀ sí ìgbànpá fún olupèsè tàbí ọ̀nà tí ó ré kọjá ẹ̀yìn kíàmpù tí a pín. Bí a kò bá gbẹ́kẹ̀lé ẹ̀ka náà, ìdáhùn ni tunnel láàrin firewall méjèèjì, ètò ìtọ́ni tí ó wà nísàlẹ̀ yìí sì ṣì kan nínú rẹ̀.

Àpẹẹrẹ rírọrùn ń borí nígbà tí àwọn mẹ́tẹ̀ẹ̀ta bá tọ́ sí ìhà kan náà. Bí ọ̀kan nínú wọn bá kùnà, tún ipò yẹn ṣe ní gbangba dípò kí o fi ìtumọ̀ bo ó, nítorí NAT ń fi àìkúnà pamọ́ dípò kí ó yanjú rẹ̀.

Kọ́ ètò ọ̀nà lórí nẹ́tíwọ́kì ìrékọjá

Fún firewall kọ̀ọ̀kan ní àdírẹ́sì lórí ẹ̀ka tí a pín, kí o sì fi ọ̀nà pàtó kan kún fún LAN jíjìnnà kọ̀ọ̀kan. Kò sí nǹkan mìíràn nínú ìṣètò tí ó wà tí ó ní láti ṣí kúrò, pàápàá ọ̀nà àkọ́kọ́ sí internet gbọdọ̀ dúró gbáà lórí ibi tí ó wà. Yíyí ọ̀nà àkọ́kọ́ padà pẹ̀lú firewall ẹlẹgbẹ́ rẹ̀ yóò fi gbogbo ibi tí kò ní í ṣe rẹ̀ ránṣẹ́ kọjá ìrékọjá, èyí tí ó jẹ́ àyípadà tí ó tóbi ju èyí tí a béèrè lọ. Ìwé pfSense lórí ìtọ́ni aláìlẹ́gbẹ̀ẹ́ ṣàpèjúwe àwòrán ọ̀nà-pẹ̀lú-ẹnubodè kan náà fún pẹpẹ yẹn, ìṣàkóso tí ó dọ́gba sì wà lórí firewall èyíkéyìí tí o bá ń darí.

Firewall A ń sin 10.30.0.0/24, firewall B ń sin 10.40.0.0/24, àwọn àdírẹ́sì ìrékọjá méjèèjì wà ní 192.0.2.0/24. Host LAN kọ̀ọ̀kan ń pa firewall ilé rẹ̀ mọ́ gẹ́gẹ́ bí ẹnubodè, nítorí náà ipò tuntun kan ṣoṣo ni ọ̀nà kan ní ẹ̀gbẹ́ kọ̀ọ̀kan. Lórí firewall tí ó dá lórí Linux ètò kan náà rí báyìí, a sì gbọdọ̀ mú ìfiránṣẹ́ ṣiṣẹ́, bí bẹ́ẹ̀ kọ́ ọ̀nà yóò yanjú nígbà tí a ń sọ pákẹ́tì nù.

sysctl -w net.ipv4.ip_forward=1
ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1
ip route get 10.40.0.15
traceroute -n 10.40.0.15

Ya ìdáàmú kúrò lọ́dọ̀ ìtumọ̀

Ìtọ́ni àti ìlànà jẹ́ ìṣàkóso oríṣiríṣi, àti pé ní èkejì ni ọ̀pọ̀ jùlọ àwọn àpẹẹrẹ tí a tọ́ sọ́nà ti ń kùnà ní ti gidi. Gba àwọn orísun, ibi àti iṣẹ́ pàtó láàyè ní ààlà iwọlé tí àwọn pákẹ́tì ń kọjá gidi, kí o sì rántí pé àmì interface bí WAN jẹ́ orúkọ, kì í ṣe ìpolongo nípa ìgbẹ́kẹ̀lé. Port ìrékọjá tí ó ń gbé ìtàkùn àdáni lè ṣì ní dídínà àdírẹ́sì àdáni ṣíṣẹ́ ní àìpẹ̀yà.

Lẹ́yìn náà wo ìtumọ̀ jáde ṣáájú kí o tó pinnu pé kò sí NAT tí ń ṣẹlẹ̀. Àwọn òfin jáde aládáṣiṣẹ́ lè tún ìtàkùn tí a kò pète fún ìtumọ̀ kọ, èyí sì ń ba àwọn àdírẹ́sì orísun tí ẹ̀gbẹ́ kejì nílò fún ìlànà àti àkọsílẹ̀ rẹ̀ jẹ́. Jẹ́rìí pé àwọn ìṣàn tí a yàn ń pa àdírẹ́sì ìpilẹ̀ wọn mọ́, kí o sì fi àwọn òfin ìtumọ̀ internet sílẹ̀ fún ìtàkùn tí ó ṣì nílò wọn.

iptables -t nat -S POSTROUTING
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni eth1 -c 5 host 10.40.0.15

Nígbà tí NAT jẹ́ ìdáhùn òtítọ́

Ìtumọ̀ ń gba ibi rẹ̀ nígbà tí àwọn ìlà àdírẹ́sì bá papọ̀ gidi tí a kò sì lè tún nọ́mbà ṣe, tàbí nígbà tí ìlànà béèrè pé ẹ̀gbẹ́ kan kí ó rí àdírẹ́sì kan ṣoṣo dípò subnetwork. Ní irú àwọn ipò yẹn, ìtọ́sọ́nà ẹ̀yà kan-sí-ọ̀kan tàbí tí a fi port dín ní ìmọ̀ọ́mọ̀ jẹ́ ìpinnu àpẹẹrẹ pẹ̀lú àwọn àbájáde tí a mọ̀, kì í ṣe ọ̀nà àbáyọ.

Àbájáde tí ó yẹ kí a sọ ní ìró ògo ni pé ẹ̀gbẹ́ kejì kò lè rí tàbí yọ orísun kọ̀ọ̀kan mọ́. Àwọn àkọsílẹ̀ ń ṣubú sínú àdírẹ́sì tí ń túmọ̀, ìlànà fún host kọ̀ọ̀kan ń dá ṣíṣẹ́, àti wíwá ojútùú ìṣòro di wíwá irú host inú tí ó ni ìṣàn ní àkókò kan. Bí ìkankan nínú ìwọ̀nyí kò bá ṣe pàtàkì fún ìtàkùn tí a ń sọ̀rọ̀ rẹ̀, NAT dára.

Nígbà tí ìrékọjá fúnra rẹ̀ jẹ́ àròsọ tí kò tọ́

Bí ẹ̀ka tí a pín bá kọjá olupèsè, aṣọ́po swítsì tí a pín tàbí ọ̀nà èyíkéyìí tí ẹ̀gbẹ́ mìíràn lè ka ìtàkùn náà, ìtọ́ni nìkan kì í ṣe ìdáhùn kíkún. Tunnel láàrin firewall méjèèjì ń fún ọ ní àṣírí àti ìjẹ́rìí ẹlẹgbẹ́, tábìlì ọ̀nà tí ó wà nínú rẹ̀ sì ni tábìlì kan náà tí ìwọ ìbá kọ sórí ìrékọjá.

Pinnu èyí láti inú ìbéèrè ìgbẹ́kẹ̀lé ní apá kìíní, kì í ṣe láti inú àṣà pé VPN ló ní ààbò jù. Tunnel lórí ẹ̀ka tí ó ti jẹ́ àdáni ń fi iye ìṣiṣẹ́ àti ọ̀nà àìkúnà mìíràn kún láìsí èrè, nígbà tí ìtọ́ni lórí ẹ̀ka tí a kò gbẹ́kẹ̀lé ń pààrọ̀ àṣírí pẹ̀lú ìrọrùn tí ìwọ kò lè gbé. Kọ ipò wo nínú àwọn mẹ́ta tí ó darí yíyàn náà, kí ẹlẹ́rọ̀ ẹ̀rọ tí ó kàn má baà ní láti tún jíroro rẹ̀.