Oníbàárà VPN alátọ́nà dé sáfà ṣùgbọ́n kò dé àwọn olùgbàlejò LAN

Tọ́nẹ́lì gòkè, oníbàárà ń píng sáfà VPN, àti àpòpọ̀ lórí ẹ̀rọ tó jìnnà ìgbésẹ̀ kan kò dáhùn rárá. Kò sí ohun kan nínú ìṣètò oníbàárà tó ṣàlàyé èyí, nítorí pé ìbéèrè náà kúrò lọ́dọ̀ oníbàárà ní tòótọ́ ó sì dé ní tòótọ́. Ohun tó kùnà ni ìrìn àjò ìpadàbọ̀, àti ẹ̀rọ tó kùnà sábà máa ń jẹ́ gáètìwèè LAN kì í ṣe olùgbàlejò VPN. Pípa pákẹ́ẹ̀tì ìdáhùn tọ̀ ṣàlàyé gbogbo ẹgbẹ́ àmì àìsàn yìí.

Tẹ̀lé Ìdáhùn, Kì Í Ṣe Ìbéèrè

Sáfà VPN ń yọ kókó pákẹ́ẹ̀tì oníbàárà kí ó sì fi ránṣẹ́ sí LAN pẹ̀lú àdírẹ́sì oníbàárà ṣì wà nínú pápá orísun. Olùgbàlejò ibi tí ó ń lọ ń dáhùn àdírẹ́sì yẹn, àti nísinsìnyí tábìlì ọ̀nà tirẹ̀ ni ó ń pinnu ohun gbogbo. Gáètìwèè àkọ́kọ́ rẹ̀ kò mọ ohun kan nípa àdàkọ tọ́nẹ́lì, nítorí náà ìdáhùn náà jáde lọ sí ọ̀dọ̀ olùpèsè íńtánẹ́ẹ̀tì a sì sọ ọ́ nù níbìkan lórí ọ̀nà yẹn.

Lórí oníbàárà àmì náà ni àkókò ìparí tí ó dákẹ́: kò sí ìkọ̀, kò sí àtúnṣe, kò sí ohunkóhun. Wíwo àpòpọ̀ ń dúró, píng ń ròyìn pé kò sí ìdáhùn, àwọn àkọsílẹ̀ sáfà sì dàbí aláìlera kankan nítorí sáfà ti ṣe iṣẹ́ rẹ̀.

Fi Ọ̀nà Ìpadàbọ̀ Síbí Tí Àwọn Olùgbàlejò Ń Wò

Gbogbo olùgbàlejò LAN ń béèrè lọ́wọ́ gáètìwèè àkọ́kọ́ rẹ̀, nítorí náà gáètìwèè ni ẹ̀rọ kan ṣoṣo tí ó gbọ́dọ̀ mọ ibi tí àdàkọ tọ́nẹ́lì wà. Fi ọ̀nà ìdúróṣinṣin kún ibẹ̀, gbogbo olùgbàlejò yóò sì jogún ọ̀nà tó tọ́ láìfi ọwọ́ kàn án.

Tí gáètìwèè bá ń pín àdírẹ́sì tirẹ̀ gẹ́gẹ́ bí àṣàyàn DHCP, pín ọ̀nà náà lọ́nà yẹn kí àwọn ẹ̀rọ tuntun lè gbà á fúnra wọn. Bí bẹ́ẹ̀ kọ́, ọ̀nà náà ń gbé inú fáìlì ìṣètò kan ó sì pàdánù ní àtúntò tó kàn.

# on the LAN gateway; tunnel pool 172.20.5.0/24, VPN server 10.60.4.10
ip route add 172.20.5.0/24 via 10.60.4.10
ip route get 172.20.5.14

Ìdí Tí NAT Orísun Fi Dàbí Pé Ó Ń Tún Ṣe

Fífi àdàkọ oníbàárà bò mọ́lẹ̀ lẹ́yìn àdírẹ́sì sáfà VPN yọ ìṣòro náà kúrò nípa yíyọ àdírẹ́sì oníbàárà kúrò nínú pákẹ́ẹ̀tì. Àwọn ìdáhùn yóò padà sí sáfà, tí ó ti mọ bí a ṣe ń dé tọ́nẹ́lì, ohun gbogbo yóò sì ṣiṣẹ́. Iye náà ni pé àwọn olùgbàlejò inú kò lè rí ẹni tí oníbàárà jẹ́ mọ́, àti pé gbogbo ìsopọ̀ dàbí ẹni pé ó ti ẹ̀rọ kan wá.

Ìpààrọ̀ yẹn máa ń tọ́ nígbà mìíràn, bí àpẹẹrẹ nígbà tí a kò lè fún ẹ̀rọ olùtà ní ọ̀nà ìdúróṣinṣin. Má ṣe jẹ́ kí òfin náà gbòòrò ju àdàkọ ìsinsìnyí lọ, nítorí òfin tí a kọ fún /24 yóò dá wíwà ní ìbámu dúró ní ọjọ́ tí a bá tún àdàkọ náà kọ sí /16, àmì àkọ́kọ́ sì ni ẹgbẹ́ oníbàárà tuntun tí wọ́n ń sopọ̀ tí wọn kò sì dé ibikíbi.

iptables -t nat -A POSTROUTING -s 172.20.5.0/24 -o ens18 -j MASQUERADE
iptables -t nat -L POSTROUTING -n -v

Ọ̀nà Àwọsánmà Nílò Ètò Mẹ́ta

Nínú VPC àlàfo kan náà padà wá ní ẹ̀yà mìíràn, nítorí sábùnẹ́ẹ̀tì kò ní ọ̀nà kankan fún ààlà oníbàárà rárá. Tábìlì ọ̀nà nílò àkọsílẹ̀ fún àdàkọ tọ́nẹ́lì tí ó ń tọ́ka sí ìbáraẹnisọ̀rọ̀ nẹ́tíwọ́ọ̀kì ẹ̀rọ náà, ìbáraẹnisọ̀rọ̀ náà sì gbọ́dọ̀ pa ìyẹ̀wò orísun àti ibi tí ó ń lọ dà, kí ẹ̀rọ àtẹ̀jáde lè gba àwọn pákẹ́ẹ̀tì tí orísun wọn kì í ṣe àdírẹ́sì tirẹ̀. Àwọn ẹgbẹ́ ààbò àti ACL nẹ́tíwọ́ọ̀kì gbọ́dọ̀ gba àdàkọ náà láàyè ní ẹ̀gẹ́ méjèèjì.

Gbogbo àìsí kan ń mú àìsí àpapọ̀ ọ̀tọ̀ọ̀tọ̀ wá. Fojú fo àkọsílẹ̀ tábìlì ọ̀nà, àwọn ẹ̀rọ ìkọ̀kọ̀ yóò dáhùn sínú sábùnẹ́ẹ̀tì tí kò lè gbé ìdáhùn padà sí àdàkọ náà. Bí ìyẹ̀wò bá ṣì wà ní ṣíṣí, ẹ̀rọ àtẹ̀jáde yóò sọ ìdáhùn nù lẹ́yìn tí ẹ̀rọ náà ti rán an tẹ́lẹ̀. Láìsí òfin ẹgbẹ́ ààbò, ìbéèrè fúnra rẹ̀ kò ní dé rárá, oníbàárà yóò sì rí àkókò ìparí ní ìpele kan ṣáájú.

Ṣe Àwọn Ìyẹ̀wò Ní Ọ̀nà Yìí

Jẹ́rìí ìfiránṣẹ́ àti ìlànà ìdánwò kí o tó dá ẹ̀bi ọ̀nà, nítorí olùgbàlejò tí kò ní ránṣẹ́ yóò kùnà lọ́nà dídákẹ́ kan náà. Lẹ́yìn náà ka ètò ọ̀nà ìpadàbọ̀ tí ó wà lórí ìbáraẹnisọ̀rọ̀ tí ó ń gbé tọ́nẹ́lì, nítorí àlẹ̀mọ́ tí ó le lè sọ àwọn ìdáhùn tí ó ń wá láti ọ̀nà àìròtẹ́lẹ̀ nù.

Parí pẹ̀lú gbígbà tí a gbà lórí olùgbàlejò LAN nígbà tí oníbàárà ń píng rẹ̀. Ìbéèrè tí ó dé láìsí ìdáhùn tí ó bá mu ń fi ọ̀nà ìpadàbọ̀ hàn, ìbéèrè tí kò sì dé rárá ń ti ẹ̀bi padà sí sáfà tàbí tọ́nẹ́lì.

sysctl net.ipv4.ip_forward net.ipv4.conf.all.rp_filter
tcpdump -ni any host 172.20.5.14 and icmp

Ìyẹ̀wò orísun àti ibi tí ó ń lọ wà nínú ìtọ́sọ́nà ìbáraẹnisọ̀rọ̀ nẹ́tíwọ́ọ̀kì alọ́nà. Fi í sórí ìbáraẹnisọ̀rọ̀ tí ó ń gbé ìrìn tọ́nẹ́lì ní tòótọ́, kì í ṣe lórí àdáṣe tí kò ní í ṣe pẹ̀lú ẹ̀rọ kan náà.