Lẹ́yìn ìyípadà IP sáfà, òfin SNAT ṣì ń dárúkọ èyí tí ó ti kọjá

Sáfà náà kó lọ sí àdírẹ́sì tuntun, àwọn oníbàárà ṣì ń so pọ̀, kò sì sí ohun tí wọ́n fi ránṣẹ́ tí ó dé internet. Ìpín yẹn ni àmì náà: socket tí ń gbọ́ àti gbígbé port lọ kọjá ló yè ìkó lọ, nítorí náà tunnel náà gbé sókè, nígbà tí ìtumọ̀ orísun tí a fi ń ṣiṣẹ́ lórí àwọn pákítì tí a fi ránṣẹ́ ṣì ń dárúkọ àdírẹ́sì tí olùgbàlejò kò ní mọ́. Àwọn ìdáhùn sí àwọn pákítì tí a kọ tuntun yẹn ń lọ sí ẹ̀rọ tí kò sí mọ́.

Ìsopọ̀ àti gbígbé lọ ń kùnà ní ibi ọ̀tọ̀ọ̀tọ̀

Ìdásílẹ̀ dá lórí ibi ìparí tí àwọn oníbàárà ti mọ̀ tẹ́lẹ̀: àdírẹ́sì gbogbo ènìyàn, gbígbé port lọ ní iwájú rẹ̀ àti olùgbọ́ nínú. Tráfíìkì tí a fi ránṣẹ́ dá lórí ìpinnu kejì tí a ṣe lẹ́yìn tí pákítì náà wọ tunnel, nígbà tí olùgbàlejò ń kọ orísun rẹ̀ tuntun kí àwọn ìdáhùn lè rí ọ̀nà padà.

Ìyípadà àdírẹ́sì ń ba ìpinnu kejì nìkan jẹ́, ìdí niyẹn tí a fi ka àmì náà bí "a ti so pọ̀ ṣùgbọ́n kò sí internet". Èyí tún ṣàlàyé ìdí tí àwọn àyẹ̀wò ìbùkún ní ẹ̀gbẹ́ oníbàárà fi ń dàbí aláìlera kùnà: ìfọwọ́sowọ́pọ̀ ń parí, oníbàárà ń gba àdírẹ́sì, àti pàápàá ping sí àdírẹ́sì tunnel sáfà lè dáhùn. Àwọn wákàtí ń lọ lórí oníbàárà fún àṣìṣe tí ń gbé ní ẹ̀gbẹ́ kejì, nítorí náà tábìlì òfin ni ibi àkọ́kọ́ tí a ó wo.

Ka òfin àti àwọn olùkà rẹ̀ kí o tó ṣàtúnṣe

Ṣe àkójọ àwọn òfin ìtumọ̀ pẹ̀lú àwọn olùkà kí o sì fi orísun tí a ṣètò wé àwọn àdírẹ́sì tí olùgbàlejò ní ní ti gidi. Òfin tí a kọ sí àdírẹ́sì tí ó ti kú sábà fi tráfíìkì hàn ní ọ̀nà àbáwọlé, nítorí àwọn pákítì ń dé ọ̀dọ̀ rẹ̀ tí a sì ń túmọ̀ wọ́n, kò sì sí nǹkan ní ọ̀nà ìpadà.

sudo iptables -t nat -L POSTROUTING -n -v --line-numbers
ip -4 addr show

Yẹ àwọn pápá mẹ́ta wò nígbà tí o wà níbẹ̀: àkójọ nínú ìbámu orísun, interface àbájáde tí òfin bá dárúkọ ọ̀kan, àti ìyọkúrò tí ń dá tráfíìkì láàrin àwọn tunnel dúró kí a má ṣe kọ ọ́ tuntun. Ìyọkúrò yẹn rọrùn láti sọnù nígbà àtúnṣe, sísọnù rẹ̀ sì máa ń jẹ́ kí tráfíìkì láàrin àwọn ẹlẹgbẹ́ dàbí ẹni pé ó ń ṣiṣẹ́ nígbà tí àwọn ìdáhùn rẹ̀ ń gba ọ̀nà àjèjì.

Tí àwọn olùkà bá dúró ní òdo, àwọn pákítì kò ní dé òfin yìí rárá àti pé àdírẹ́sì kì í ṣe ìṣòro lọ́wọ́lọ́wọ́. Wá òfin tí ń díje tí ó wà ṣáájú nínú ẹ̀wọ̀n náà, èyí tí ń ṣẹlẹ̀ nígbà tí ẹnìkan fi àròpọ̀ kún un dípò kí ó ṣàtúnṣe ìpilẹ̀. Fi àwọn nọ́mbà òfin wé àbájáde tí o kọ sílẹ̀ ní ìṣẹ́jú kan sẹ́yìn. Ìtòlẹ́sẹẹsẹ jẹ́ apá kan ìṣètò, kì í ṣe kúlẹ̀kúlẹ̀ ẹ̀wà.

Rọ́pò orísun, tàbí dá dárúkọ rẹ̀ dúró

Nígbà tí olùgbàlejò bá ní àdírẹ́sì tí ó dúró ṣinṣin, rọ́pò òfin náà ní ibi rẹ̀ dípò kí o kún un pẹ̀lú ọ̀kan mìíràn. Rírọ́pò nípasẹ̀ nọ́mbà òfin ń pa ìtòlẹ́sẹẹsẹ tí ìyókù ẹ̀wọ̀n náà gbára lé mọ́.

sudo iptables -t nat -R POSTROUTING 1 -s 10.8.0.0/24 ! -d 10.8.0.0/24 -j SNAT --to-source 10.151.0.40

Nígbà tí a bá ń fi àdírẹ́sì fúnni ní ọ̀nà aláyọ̀, má dárúkọ orísun kankan, kí o sì jẹ́ kí kérnẹ́lì yan èyí tí ó wà lọ́wọ́lọ́wọ́ láti interface àbájáde. Oríṣi yẹn yóò la ìkó lọ tó ń bọ̀ laìsí àtúnṣe, ní iye owó tí yóò fi àdírẹ́sì tí a lò pa mọ́.

sudo iptables -t nat -R POSTROUTING 1 -s 10.8.0.0/24 ! -d 10.8.0.0/24 -o eth0 -j MASQUERADE

Jẹ́rìí pé gbígbé IPv4 lọ ṣì ń ṣiṣẹ́ nípasẹ̀ ìṣètò tí a ń ṣàkóso, lẹ́yìn náà sọ òfin di àìlópin pẹ̀lú ẹ̀rọ ìpínnáà fúnra rẹ̀. Ìyípadà tí a ṣe nínú kérnẹ́lì tí ń ṣiṣẹ́ nìkan yóò padà wá ní àtúnbẹ̀rẹ̀ tó ń bọ̀, sábà níbi àkókò ìtọ́jú tí ẹnikẹ́ni kò so mọ́ ìyípadà náà.

Ọ̀nà méjì láti ṣe àrọ́pò náà ní àṣìṣe

Títúmọ̀ àkójọ náà sí àdírẹ́sì tunnel sáfà dípò àdírẹ́sì LAN rẹ̀ yóò rán àwọn ìdáhùn padà tààrà sínú tunnel, níbi tí a ti ń tọ́ wọn lọ sọ́dọ̀ oníbàárà tí kò tí ì béèrè wọn rí. Ìsopọ̀ náà ń dúró ní ọ̀nà tí ó dàbí ìyípo ìtọ́sọ́nà, nítorí ìyípo ni.

Kíkó ìtumọ̀ kejì lé orí èyí tí ó ti kọjá ni àṣìṣe kejì. Òfin àkọ́kọ́ tí ó bámu ni yóò borí, nítorí náà àkọsílẹ̀ àtijọ́ yóò máa ṣe àwọn pákítì títí tí a ó fi paarẹ́, àwọn olùkà òfin tuntun yóò sì dúró ní òdo nígbà tí gbogbo ènìyàn ń dá àrọ́pò náà lẹ́bi. Pa ẹ̀dà náà rẹ́ kí o tó kún un pẹ̀lú nǹkan tuntun. Lẹ́yìn náà ka àkójọ náà lẹ́ẹ̀kan sí i kí o sì jẹ́rìí pé ìtumọ̀ kan ṣoṣo ni ó bámu pẹ̀lú àkójọ náà.

Tí tunnel bá tún gbé IPv6, tun gbogbo àgbéyẹ̀wò náà ṣe lórí àkójọ kejì. Ọ̀nà àìlópin IPv6 láìsí ìtumọ̀ àti láìsí ìpilẹ̀ tí a tọ́ yóò kùnà ní ìdákẹ́jẹ́ bákan náà, ó sì rọrùn láti gbàgbé nítorí gbogbo nǹkan tó wà lókè rẹ̀ dàbí ẹyọ kan.

Àwọn iṣẹ́ tí ń wọlé nílò ìtumọ̀ ìdàkejì

Iṣẹ́ kan lórí oníbàárà VPN tí ó gbọdọ̀ jẹ́ àrólé láti ìta nílò ìtumọ̀ ibi àfojúsùn, kì í ṣe ìtumọ̀ orísun: a kọ port gbogbo ènìyàn tuntun sí àdírẹ́sì tunnel oníbàárà kí ó tó wọlé. Lẹ́yìn náà ọ̀nà gbígbé lọ nílò òfin tí ó ṣe kedere tí ó gba tráfíìkì yẹn láàyè.

sudo iptables -t nat -A PREROUTING -p tcp --dport 8080 -j DNAT --to-destination 10.9.8.2:8080

Má ṣe túmọ̀ port tí ó gbé tunnel fúnra rẹ̀ rí, nítorí àtúníkọ yẹn ń já ìsopọ̀ tí ń mú iṣẹ́ náà wà ní àrólé já. Pa port tunnel mọ́ kúrò pátápátá nínú àwọn òfin ibi àfojúsùn. Ní ìparí, jẹ́rìí láti ẹ̀gbẹ́ méjèèjì: àwọn olùkà lórí òfin tuntun, gbígbà kúkúrú kan lórí ẹ̀rọ tunnel, àti ìbéèrè kan sí àdírẹ́sì nínú tunnel kí o tó gbìyànjú èyí tí gbogbo ènìyàn.