Awọn onibara VPN meji, awọn adirẹsi gbangba meji: mu SNAT baamu

Awọn onibara VPN meji le jade nipasẹ awọn adirẹsi IPv4 gbangba oriṣiriṣi meji, ofin ti o ṣe eyi si kuru ju ohun ti ọpọlọpọ eniyan reti. Ohun ti o jẹ ki o ṣiṣẹ kii ṣe sintasi iptables ṣugbọn ipo pakẹti naa nigbati o de ẹwọn ijade: adirẹsi orisun nibẹ tun gbọdọ ya awọn onibara soto. Ti masquerade tẹlẹ ba ti dapọ awọn mejeeji sori adirẹsi kan, ko si ofin fun onibara kọọkan ti o le mu iyatọ naa pada. Yanju ipinnu ibeere yẹn, lẹhinna kọ itumọ naa.

Idanimọ wo ni o ye titi de ẹnu-ọna

Ofin naa baamu adirẹsi orisun pakẹti naa, kii ṣe orukọ olumulo VPN ati kii ṣe orukọ ti ohun elo onibara fihan. Gbogbo ohun ti o tumọ pakẹti naa tẹlẹ lori ipa-ọna ni o pinnu ohun ti ofin rẹ tun le rii. Ṣiṣẹ tabili nat ni tẹlentẹle ki o wa aaye nibiti orisun tun jẹ ti onibara kọọkan.

iptables -t nat -S POSTROUTING

Ka atokọ yẹn lati oke. Ofin masquerade nitosi oke n kọ orisun naa pada fun gbogbo ṣiṣan ti o baamu, awọn titẹ sii fun onibara kọọkan ti a gbe lẹhin rẹ si baamu adirẹsi ti ko si mọ. Nigbati awọn ẹrọ LAN meji ba pin oju eefin kan ti wọn si de bi adirẹsi inu kan, apẹrẹ gbọdọ yipada ṣaaju ki ogiri ina yipada: tọju awọn sakani orisun wọn lọtọ tabi fun ọkọọkan ni adirẹsi inu ti tirẹ.

So ipinfunni adirẹsi inu pọ mọ onibara ti a fọwọsi. Fifun adirẹsi yẹn fun ẹrọ miiran n fi eto imulo ijade funni pẹlu, ati pe itumọ orisun kii ṣe ẹri idanimọ funrararẹ.

Itumọ ko le ṣẹda adirẹsi

Gbogbo adirẹsi gbangba gbọdọ jẹ ipinfunni tabi ipa-ọna si aaye ijade yii, ati pe awọn idahun gbọdọ wa ọna pada si ibẹ. Ofin ti o fi ọkọ oju-irin ranṣẹ lati adirẹsi ti ko si ẹnikan ti o pa ọna pada si ni a sọ silẹ ni opin jijinna tabi a dahun si agbalejo ti ko beere rara. Ẹda olupese awọsanma maa n ni adirẹsi gbangba rẹ ti a tumọ si adirẹsi wiwo aladani ṣaaju ki pakẹti to jade, nitorinaa orisun SNAT gbọdọ jẹ adirẹsi ti olupese yoo gba, kii ṣe iye ti console fihan. Ka apẹrẹ adirẹsi olupese ki o tẹle e dipo didakọ iye gbangba sinu gbogbo pakẹti.

Ni iṣe, eyi tumọ si wiwo ipilẹ ti a ti pa ọna si ninu console olupese ṣaaju ki o to fi ọwọ kan ogiri ina, ati lilo adirẹsi wiwo aladani gẹgẹbi orisun itumọ nigbati maapu naa jẹ ọkan-si-ọkan. Awọn adirẹsi ti a lo ninu awọn apẹẹrẹ ni isalẹ wa lati awọn sakani iwe, nitorinaa ohun akọkọ ti o yẹ ki o rọpo ni ọrọ adirẹsi naa funrararẹ.

Fi sii ṣaaju masquerade gbogbogbo

Jẹrisi wiwo ijade ati ẹwọn lọwọlọwọ ṣaaju ki o to fi ohunkohun kun. Akọkọ pinnu iru awọn pakẹti ti ofin le baamu, ẹlẹẹkeji si fihan ohun ti o ti duro ni iwaju rẹ.

ip -4 route show default
iptables -t nat -L POSTROUTING -n -v --line-numbers

Aṣẹ akọkọ sọ wiwo ti pakẹti si intanẹẹti gangan ti njade lati. Ẹlẹẹkeji tẹ ẹwọn pẹlu awọn nọmba ila. Titẹ sii masquerade gbogbogbo ni ila ti o yẹ ki o duro loke.

iptables -t nat -I POSTROUTING 1 -s 10.88.4.20/32 -o ens3 -j SNAT --to-source 198.51.100.77
iptables -t nat -I POSTROUTING 1 -s 10.88.4.21/32 -o ens3 -j SNAT --to-source 198.51.100.78

Awọn ofin meji loke baamu adirẹsi inu kan kọọkan, wọn fi idiwọ baamu si wiwo ijade ati ṣeto orisun ni gbangba. Fi sii dipo fifi kun: ni ipo 1 wọn ṣe ayẹwo ṣaaju ila masquerade. Ilana laarin awọn meji ko ṣe pataki nitori awọn orisun wọn yatọ. Rọpo ens3 pẹlu ohun ti aṣẹ ipa-ọna royin, ki o si pa awọn oluṣakoso ogiri ina miiran mọ kuro lori awọn kio kanna, nitori awọn irinṣẹ meji ti n kọ tabili kan ni idi ti o wọpọ ti ofin to tọ ko ni ipa.

Fi orisun han pẹlu ṣiṣan tuntun

Stateful NAT so itumọ kan nigbati ṣiṣan ba bẹrẹ ati tun lo fun awọn pakẹti nigbamii, nitorinaa igba ti o ṣii ṣaaju iyipada yoo tọju orisun atijọ rẹ lẹhin iyipada. Ijabọ ti o ṣẹṣẹ bẹrẹ nikan ni o fi ofin han.

conntrack -L -s 10.88.4.20 -p tcp --dport 443

Ka itọsọna idahun ti titẹ sii yẹn: opin rẹ ni adirẹsi ti opin jijinna ri bi orisun. Fi wé pẹlu adirẹsi gbangba ti o pinnu, ki o ka titẹ sii ti o gbe adirẹsi atijọ bi ẹri ti ṣiṣan ti o bẹrẹ ni kutukutu, kii ṣe ofin ti o bajẹ. Sọ fun onibara lati ṣii asopọ tuntun, lẹhinna tun ibeere naa ṣe. Pipa gbogbo tabili ipasẹ lati fi ipa mu idanwo yoo da gbogbo igba miiran lori ẹnu-ọna duro.

Itumọ ko tun yan ipa-ọna, ko gba ṣiṣan laaye lati kọja nipasẹ àlẹmọ ati ko tẹjade iṣẹ ti n wọle. Ipa-ọna ti ko tọ ati ofin igbanilaaye ti o sonu tẹsiwaju lati kuna lẹhin ofin SNAT pipe. Ṣayẹwo IPv6 ati eyikeyi ọna ijade keji paapaa, lẹhinna ṣe akiyesi awọn orisun inu-si-gbangba ninu iwe ogiri ina ki iyipada ti o tẹle le bẹrẹ lati maapu dipo ọrọ ofin.