Ìdí tí àwọn oníbàárà Access Server kò fi dé láti LAN

Kọ̀mpútà àgbééká náà so pọ̀, ọ̀nà abẹ́lẹ̀ náà wà níṣẹ́, àwọn ìbéèrè sí iṣẹ́ inú kan sì dúró ní àkókò ìsopọ̀. Ní iṣẹ́ náà fúnra rẹ̀, ìbéèrè náà wá láti àdírẹ́sì bí 10.90.0.25, ìdáhùn náà jáde lọ sí gáètìwèì àìpé, kò sì sí ohun tí ó padà, nítorí gáètìwèì yẹn kò mọ ibi tí 10.90.0.25 wà. Láti ẹ̀gbẹ́ kejì, àìtọ́ kanna yóò dàbí agbàlejò inú kan tí kò lè ṣe ping sí oníbàárà tí ó so pọ̀. Àwọn méjèèjì jẹ́ ohun kan ṣoṣo tí ó ṣá kù: ọ̀nà ìpadà sí adágún àwọn oníbàárà VPN, tí nẹ́tíwọ́kì àdáni nìkan lè fi kún.

Ka àdírẹ́sì orísun tí iṣẹ́ náà ń rí

Pápá kan ṣoṣo yẹn ni ó ń pinnu gbogbo ohun mìíràn. Bí iṣẹ́ inú náà bá ń rí àdírẹ́sì adágún náà, Access Server ń ṣe ìtọ́nà dípò fífi ìrìn àwọn oníbàárà pamọ́, gbogbo ìdáhùn sì gbọ́dọ̀ ṣe ìtọ́nà padà sí adágún náà. Bí ó bá dípò bẹ́ẹ̀ ń rí àdírẹ́sì àdáni ti mọ́kànló fúnra rẹ̀, mọ́kànló náà ń ṣe masquerade, ọ̀nà ìpadà sì ti ń ṣiṣẹ́, ṣùgbọ́n pẹ̀lú iye ìdánimọ̀ oníbàárà kọ̀ọ̀kan tí yóò sọnù nínú àkọsílẹ̀ àti àwọn òfin ànà iṣẹ́ náà.

Fi ẹ̀gbẹ́ méjèèjì wé ní kí o tó yí ohunkóhun padà. Ní mọ́kànló, ṣe àkójọ àwọn ààlà ọ̀nà abẹ́lẹ̀ àti àdírẹ́sì wọn; ní oníbàárà, jẹ́rìí sí i pé irú àdírẹ́sì wo ni ó ń pa mọ́ gan-an; ní agbàlejò inú, wo ìsopọ̀ tí ń ṣiṣẹ́.

ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25

Àṣẹ tí ó kẹ́yìn ni èyí tí ó kùnà nínú ipò bíbàjẹ́: bóyá ó ń sọ pé àkọ́kọ́ ọ̀nà abẹ́lẹ̀ kò dé, tàbí, èyí tí ó burú jù, ó ń dá gáètìwèì àìpé rẹ padà, ọ̀nà yẹn ni àwọn ìdáhùn fi ń parí sí íńtánẹ́ẹ̀tì.

Má ṣe rò pé adágún kan ṣoṣo ló wà. Mọ́kànló lè ní ìgbà àgbéǹgbé pẹ̀lú àwọn àfihàn àìlédèé fún olùlò kọ̀ọ̀kan, àdírẹ́sì àìlédèé sì lè wà ní ìta àkọ́kọ́ àgbéǹgbé pátápátá. Bí o bá kan ṣe ìtọ́nà ìgbà tí o rántí nìkan, àwọn olùlò tí ó ní àdírẹ́sì dúró ṣinṣin yóò wà ní bíbàjẹ́, gbogbo àwọn yòókù yóò sì sọ pé wọ́n ti yanjú ìṣòro náà.

Fi ọ̀nà náà kún ibi tí a ti pinnu ìdáhùn

Ọ̀nà náà jẹ́ ti gáètìwèì tí iṣẹ́ inú náà ti ń lò tẹ́lẹ̀, kì í ṣe ti iṣẹ́ náà, àyàfi bí iṣẹ́ náà bá ń ṣe ìtọ́nà ìrìn tirẹ̀ fúnra rẹ̀. Darí rẹ̀ sí àdírẹ́sì àdáni tí ó dé ti Access Server, èyí tí ó yàtọ̀ sí àdírẹ́sì abẹ́lẹ̀ tí oníbàárà ní.

ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25

Nínú nẹ́tíwọ́kì àwọsánmà, gbólóhùn kanna di àkọsílẹ̀ tábìlì ìtọ́nà tí àfojúsùn rẹ̀ jẹ́ ẹ̀dá tàbí ààlà nẹ́tíwọ́kì tí mọ́kànló ń ṣiṣẹ́ lórí, pẹ̀lú àyẹ̀wò orísun àti ibi ìlọ tí a ti dínà lórí ààlà yẹn. Kíyèsí ohun tí àkọsílẹ̀ yẹn kò ṣe: ọ̀nà kì í ṣe fífúnni ní ànà, nítorí náà àwọn ẹgbẹ́ ààbò, ACL nẹ́tíwọ́kì àti ògiri iná agbàlejò gbọ́dọ̀ gbà ìrìn náà láàyè.

Jẹ́ kí ó dúró ṣinṣin, kí o sì pa ìwọ̀n àwọn adágún mọ́ ní òtítọ́. Àwọn adágún méjì tí wọn kò súnmọ́ ara wọn nílò ọ̀nà méjì, adágún tí ó sì ń dàgbà ju àkọ́kọ́ tí a ṣètò rẹ̀ lọ ń dá àwọn oníbàárà tí àwọn ìdáhùn wọn kò ní ibi láti lọ ní ìdákẹ́jẹ́. Bí ìwọ bá ń ṣàkóso àwọn ìgbà adágún, yan àkópọ̀ tí o lè tọ́nà lẹ́ẹ̀kan kí o sì fi sílẹ̀.

Gbígbé lọ àti àwọn àyọkúrò gbọ́dọ̀ bá ọ̀nà mu

Ìtọ́nà jẹ́ ìdajì ọ̀nà nìkan. Mọ́kànló gbọ́dọ̀ gba àyè láti gbé lọ láàrin ọ̀nà abẹ́lẹ̀ àti ààlà àdáni, èyí tí ní Linux túmọ̀ sí net.ipv4.ip_forward pẹ̀lú ẹ̀wọ̀n gbígbé tí ó gba orísìí ààlà méjì láàyè, àti lórí agbàlejò tí a fún ní agbára, ó sábà máa ń jẹ́ òfin tí ó ṣe kedere fún ọ̀nà kọ̀ọ̀kan.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forward

Àyọkúrò pẹ̀lú ipò ń ṣàlàyé àmì kan tí ó ń darí àwọn ènìyàn sí ọ̀nà tí kò tọ́. Ìdáhùn nínú ìṣàn tí ó ti wà kò nílò òfin tuntun tí ó ń wọlé, nítorí náà ìsopọ̀ tí ó dúró lẹ́yìn SYN-ACK kì í ṣe òfin ìgbàwọlé tí ó ṣá kù tí ń dínà rẹ̀; a ń sọ ọ́ nù tàbí a ń tọ́nà rẹ̀ ní àìtọ́. Pa ìyàtọ̀ yẹn mọ́, nítorí ó ń ya ìyípadà ìtọ́nà kúrò nínú ìyípadà ògiri iná.

Àwọn ọ̀nà ìpadà aláìdọ́gba ni ẹ̀dá tí ó dákẹ́ jẹ́ẹ́ jù nínú ìṣòro kanna. Bí ọ̀nà méjì bá dé adágún náà tí ìdáhùn sì gbé èyí tí ó jáde ní ààlà tí ó yàtọ̀ sí èyí tí ìbéèrè ti wọlé, àyọkúrò ọ̀nà ẹ̀yìn tí ó le yóò sọ ọ́ nù, ìṣàn yóò sì kùnà fún àwọn oníbàárà kan bákan náà.

Ìtọ́nà tàbí masquerade: yan pẹ̀lú ìmọ̀

Ipò ìtọ́nà ń pa àdírẹ́sì adágún oníbàárà mọ́ ní iṣẹ́ náà, èyí tí ó jẹ́ kí àkọsílẹ̀ àti ìlànà fún oníbàárà kọ̀ọ̀kan ṣeé ṣe, àti ní pàṣípààrọ̀, gbogbo nẹ́tíwọ́kì inú tí ó gbọ́dọ̀ dáhùn fún oníbàárà nílò ọ̀nà adágún náà. Ipò masquerade yọ ìbéèrè yẹn kúrò nítorí àwọn ìdáhùn ń padà sí mọ́kànló, ṣùgbọ́n iṣẹ́ náà kò lè ya oníbàárà kan sọ́tọ̀ kúrò lọ́dọ̀ òmíràn mọ́, kò sì lè bẹ̀rẹ̀ ohunkóhun sí oníbàárà pàtó kan.

Yíyí ìhùwàsí yẹn padà lórí mọ́kànló tí ń ṣiṣẹ́ máa ń gé àwọn àpéjọ tí ó wà, nítorí náà dán wò pẹ̀lú oníbàárà kan àti ìṣàn kan ní àkọ́kọ́. Bí ìyípadà náà bá jẹ́ ìdáhùn tí ó tọ́, ìpinnu ìṣètò ni lórí mọ́kànló, kì í ṣe ohun tí a ń yẹ̀ sílẹ̀ nípa fífi àwọn ọ̀nà tí yóò di aláìní kún.

Ààlà abẹ́lẹ̀ tí ó wà lẹ́yìn oníbàárà jẹ́ iṣẹ́ ọ̀tọ̀

Dé ohun èlò kan nínú LAN ti kọ̀mpútà àgbééká fúnra rẹ̀ kì í ṣe ohun kanna bí dé àdírẹ́sì abẹ́lẹ̀ kọ̀mpútà àgbééká. Ó nílò kí oníbàárà náà ṣiṣẹ́ bí gáètìwèì ààlà abẹ́lẹ̀: nẹ́tíwọ́kì tí a kéde ní ẹ̀gbẹ́ oníbàárà, gbígbé lọ tí a ti ṣí ní ẹ̀rọ ìṣiṣẹ́ oníbàárà, àti ọ̀nà nínú LAN yẹn padà sí oníbàárà. Fífi ọ̀nà nẹ́tíwọ́kì àdáni kún fún ìgbà ilé kọ̀mpútà àgbééká kò ṣe èyí, ó sì ń dá ìforígbárí nígbà tí àwọn olùlò méjì ní ìgbà ilé kanna.

Ìtọ́sọ́nà tún jẹ́ ìbéèrè ìlànà. Ìyọ̀nda fún oníbàárà láti ṣí ìsopọ̀ sí iṣẹ́ inú kò fún agbàlejò inú ní àyè láti ṣí ìsopọ̀ sí oníbàárà yẹn lọ́nà àìpé. Ṣàyẹ̀wò ìlànà ànà mọ́kànló àti ògiri iná agbàlejò oníbàárà kí o tó pinnu pé ọ̀nà náà ti bàjẹ́.

Jẹ́rìí pẹ̀lú ìṣàn kan àti gbígbà kan

Fi ìsopọ̀ kan ṣoṣo ṣe àfihàn ọ̀nà náà dípò àyẹ̀wò ìdé gbogbogbò. Wo ìṣàn kanna ní ẹ̀gbẹ́ méjèèjì: ìbéèrè tí ó ń dé iṣẹ́ náà àti ìdáhùn tí ó ń fi í sílẹ̀.

tcpdump -ni any host 10.90.0.25 and port 443

Kí a tó tún ṣe, gbígbà náà ń fi hàn pé ìdáhùn ń jáde lọ sí gáètìwèì tí kò ní tọ́nà rẹ̀. Lẹ́yìn àtúnṣe, ìdáhùn ń jáde lọ sí mọ́kànló, ìṣàn sì ń parí. Lẹ́yìn náà jẹ́rìí ọ̀nà tí gáètìwèì yóò lò fún àdírẹ́sì oníbàárà kejì, kí adágún tí o kò bo lè farahàn nísinsìnyí kì í ṣe lẹ́yìn ọ̀sẹ̀ kan.

Parí pẹ̀lú àwọn àyẹ̀wò mẹ́rin tí ó ti í kùn: àdírẹ́sì orísun ní iṣẹ́ náà bá ipò tí o ní lọ́kàn mu, gáètìwèì ní ọ̀nà sí gbogbo adágún tí a ń lò, gbígbé lọ àti àwọn àyọkúrò gba ẹ̀gbẹ́ méjèèjì láàyè, àti ìṣàn gidi kan ń parí láti ìbẹ̀rẹ̀ dé ìparí. Àwọn ìbéèrè tí a ń béèrè léraléra nípa ìtọ́nà Access Server sọ ìlànà kanna fún ẹ̀dá tí a ti fi sórí ẹ̀rọ, tí ààlà ìṣètò tí a ń gbà lè yàtọ̀ sí àwọn ìtọ́sọ́nà àtijọ́.