Ṣé kí o lo SNAT lórí gbígbé ibùdó lọ sí VPN subnet?

Gbígbé ibùdó kan lọ sí ẹ̀rọ tí ó wà lẹ́yìn VPN client ti router fúnra rẹ̀ kùnà ní ọ̀nà tí ó dà bí ìṣòro firewall, nítorí pé ìbéèrè náà dé kedere. Iṣẹ́ náà ń ṣàkọsílẹ̀ ìsopọ̀, client ń dúró, kò sì sí ohun tí ó padà. Ìtumọ̀ ibi-àfojúsùn ṣe iṣẹ́ rẹ̀; pákẹ́tì ìpadàbọ̀ ni apá tí ó sọnù. Òfin NAT orísun kan tí a yàn lórí router ń tún èyí ṣe, apá tí ó fani mọ́ra ni pípinnu bí òfin yẹn lè ṣe tóóró tó.

Ìdí tí ìdáhùn fi ń gba ọ̀nà mìíràn

Gbígbé ibùdó ń tún kọ ibi tí pákẹ́tì ń lọ, kì í tún kọ ibi tí ó ti wá. Àdírẹ́sì client intanẹ́ẹ̀tì ń wà nínú pápá orísun ní gbogbo ọ̀nà la inú tunnel, nítorí náà iṣẹ́ tí ó jìnnà ń rí àjèjì kan ó sì ń dáhùn ní ọ̀nà kan ṣoṣo tí ó mọ̀: nípasẹ̀ gateway àkọ́kọ́ tirẹ̀. Gateway yẹn ni VPN concentrator ní ẹ̀gbẹ́ kejì, tí kò ní ọ̀nà ìpadàbọ̀ sí àdírẹ́sì gbogbogbòò kan.

Wo gbígbà kan lórí interface tunnel àìdọ́gba náà sì kedere: pákẹ́tì ìbéèrè ń jáde, kò sí ohun tí ń wọlé. Ẹ̀wọ̀n gbígbé náà gbà kí ṣíṣàn náà lè lọ, tunnel sì gbé e, nítorí náà ìsọ̀lẹ̀ náà ń ṣẹlẹ̀ lẹ́yìn tí ẹ̀rọ tí ó jìnnà ti yan ọ̀nà ìpadàbọ̀ tẹ́lẹ̀.

Òfin orísun tí ó tóóró tó láti gbẹ́kẹ̀lé

Sọ router di orísun tí ẹ̀rọ tí ó jìnnà ń dáhùn sí. Nínú ìṣètò yìí àdírẹ́sì WAN ni 203.0.113.24, LAN ni 192.168.88.0/24, àdírẹ́sì tunnel router ni 172.20.5.1, iṣẹ́ sì ń dáhùn ní 172.20.5.40:8443. Òfin tí ó wà nísàlẹ̀ ń bá pákẹ́tì náà mu lẹ́yìn ìtumọ̀ ibi-àfojúsùn, ìdí nìyẹn tí ó fi ń darúkọ àdírẹ́sì tí a túmọ̀ dípò ti gbogbogbòò. Kò sí ohun tí ó sinmi lórí àdírẹ́sì client, ìyẹn sì ni kókó náà gan-an.

iptables -t nat -A POSTROUTING -o tun0 -p tcp -d 172.20.5.40 --dport 8443 -j SNAT --to-source 172.20.5.1

Gbogbo ìbámu nínú ìlà yẹn wà kí àtúníkọ lè wà ní àdúgbò fún iṣẹ́ kan lórí tunnel kan. Yọ interface tàbí ibùdó kúrò, ìwọ yóò tún kọ ìrìnàjò púpọ̀ ju ohun tí ìṣòro náà nílò lọ, ọ̀nà yẹn sì ni àtúnṣe tí a fọkàn sí ń di àmùrè fún ẹni tí ó tẹ̀lé.

Ìgbà wo ni ìbòjú gbogbo wà ni yíyàn òtítọ́

Tí router bá ń gbé ọ̀pọ̀lọpọ̀ iṣẹ́ lọ sí VPN subnet kan náà, òfin fún iṣẹ́ kọ̀ọ̀kan yóò di àkọsílẹ̀ tí kò sí ẹni tí ń tọ́jú rẹ̀. Fífi ohun gbogbo tí ó jáde kúrò ní interface tunnel bòjú rọrùn ó sì ṣeé fojú rí, pẹ̀lú iye tí ó jẹ́ pé client àkọ́kọ́ yóò farasin fún gbogbo ẹ̀rọ ní ẹ̀gbẹ́ kejì. Yan èyí nígbà tí a kò bá lo àkọsílẹ̀ ibẹ̀ fún ìdánimọ̀; pa òfin tóóró mọ́ nígbà tí wọ́n bá ń lò ó.

Àwọn yíyàn méjèèjì tún kùnà lọ́nà ọ̀tọ̀ọ̀tọ̀. Òfin tóóró tí ó ṣàkùnà ń ba iṣẹ́ kan jẹ́; ìbòjú gbígbòòrò tí ó bá ọ̀pọ̀lọpọ̀ mu lè tún kọ ìrìnàjò tí ń ṣiṣẹ́ tẹ́lẹ̀ ní ìdákẹ́jẹ́, pẹ̀lú àwọn ìsopọ̀ jáde ti router fúnra rẹ̀.

Ṣàyẹ̀wò àwọn kàǹtà kí o tó tẹ̀jáde

Àwọn òfin tí kì í bá mu rí dà bí àwọn òfin tí ń ṣiṣẹ́ títí ìwọ yóò fi ka àwọn pákẹ́tì. Tún tábìlì náà kà pẹ̀lú àwọn kàǹtà byte kí client kankan tó sopọ̀, lẹ́yìn náà sopọ̀ láti nẹ́tíwọ́kì tí kì í ṣe LAN kí o sì tún un kà. Ìkà méjì ni ó ń yí àròyé padà di òtítọ́. Tẹ̀jáde gbígbé náà lẹ́yìn tí èkejì bá gbé lọ nìkan.

iptables -t nat -L POSTROUTING -v -n --line-numbers

Kàǹtà odo lórí òfin orísun lẹ́yìn ìsopọ̀ gidi túmọ̀ sí pé ìbámu náà kò tọ́, ní ọ̀pọ̀ ìgbà nítorí pé ibi-àfojúsùn tàbí ibùdó kò bá pákẹ́tì lẹ́yìn ìtumọ̀ mu. Tí kàǹtà bá ń gòkè lọ ṣùgbọ́n client ṣì ń kùnà ní àkókò, a ti tún ọ̀nà ìpadàbọ̀ ṣe, ohun mìíràn sì ń sọ ìdáhùn náà nù, nítorí náà wo ìlànà gbígbé ní ẹ̀gbẹ́ kejì lẹ́yìn náà. Ìwọlé hairpin láti inú LAN jẹ́ ìṣòro ọ̀tọ̀, ó sì nílò òfin tirẹ̀, kì í ṣe ẹ̀dà gbígbòòrò ti èyí.