ฉันมีอินเทอร์เฟซเสมือน VPN wireguard wg0 (สามารถเป็นอย่างอื่นได้) และอินเทอร์เฟซทางกายภาพ eth0. ฉันต้องการกำหนดเส้นทางแพ็คเก็ตจาก VPN ไปยัง LAN ของฉัน หรือจากอินเทอร์เฟซไปยังอินเทอร์เฟซอื่น
บล็อก บทความ คำแนะนำแบบฝึกหัดเกือบทั้งหมดใช้ สวมหน้ากาก หรือ ที่มา กทปส เท่านั้น: iptables -t nat -A โพสต์ -o eth0 -j MASQUERADE
นอกจากนี้, IP ปลอมตัว เป็นเพียง SNAT (Source NAT) มันไม่ได้เปลี่ยนพอร์ตต้นทาง
อาจมีข้อขัดแย้ง (พอร์ตต้นทาง) ระหว่างแพ็กเก็ตที่สร้างโดยโฮสต์และส่งต่อจาก wg0 (หรืออินเทอร์เฟซเสมือน/กายภาพอื่นๆ) ต้องใช้ IMHO NAPT เพื่อหลีกเลี่ยงความขัดแย้งเหล่านี้
คุณมีความแตกต่างระหว่าง SNAT/สวมหน้ากาก และ สพท./กทท. มันไม่ได้อยู่ที่นั่น
ใน Linux มีกฎ NAT แบบไดนามิกอยู่สองประเภท ซึ่งทั้งสองอย่างนี้เรียกว่า "NAPT":
สแนท และ สวมหน้ากาก. ความแตกต่างระหว่างพวกเขาคือคุณต้องระบุด้วย SNAT ในกฎ แอดเดรสใดที่จะแปลเป็น (และอาจเป็นช่วงของพอร์ตที่จะใช้) ในขณะที่ MASQUERADE จะทำการเลือกเอง โดยพิจารณาจากอินเทอร์เฟซที่แพ็กเก็ตถูกกำหนดให้ส่งออก ทั้งคู่จะถูกติดตั้งลงใน โพสต์ chain หลังจากการประมวลผลอื่นๆ ส่วนใหญ่เกิดขึ้น รวมทั้งการกำหนดเส้นทางของแพ็กเก็ต กฎประเภทนี้ใช้เพื่ออนุญาตให้คอมพิวเตอร์หลายเครื่องซ่อนอยู่หลังที่อยู่ IP ทางออกเดียว เช่น เพื่อเข้าถึงอินเทอร์เน็ตสำหรับ LAN เป็นต้น ซึ่งจะรวมถึงผู้ใช้ VPN ด้วย หากคุณต้องการเข้าถึงอินเทอร์เน็ตผ่าน VPNดีเอ็นเอท, เปลี่ยนเส้นทาง, คลัสเตอร์ไอพี และอาจจะอื่นๆ ฉันจำไม่ได้ทั้งหมด สิ่งเหล่านี้ถูกติดตั้งลงใน การเตรียมการ เชน เนื่องจากโดยปกติการตัดสินใจกำหนดเส้นทางควรเปลี่ยนแปลงภายใต้อิทธิพลของกฎ แพ็กเก็ตซึ่งแต่เดิมกำหนดปลายทางไปยังเครื่องเอง (มีที่อยู่เป็นปลายทาง) และจะต้องผ่าน ป้อนข้อมูล และถึงกระบวนการในท้องถิ่นบางอย่าง กำลังถูกแปลแทน และหลังจากข้ามผ่าน ซึ่งไปข้างหน้า ห่วงโซ่จะถูกส่งต่อไปยังระบบอื่น ๆ หรือในทางกลับกัน จะไปที่ไหน INPUT หรือ FORWARD คือการตัดสินใจกำหนดเส้นทางที่เราต้องเปลี่ยนตามกฎ กฎประเภทนี้ใช้เพื่อเข้าถึงระบบภายในบางส่วนจากอินเทอร์เน็ตบางครั้งโดยวิธีการ ทั้งสอง อาจใช้กฎสำหรับแพ็กเก็ตเดียว (และการเชื่อมต่อ) นี่เป็นกรณีพิเศษ แต่มีประโยชน์ถ้าคุณต้องการแพ็กเก็ตจากระบบภายนอก (ดังนั้น DNAT จึงต้องใช้ใน PREROUTING) เพื่อให้ดูเหมือนว่ามาจากที่อยู่ภายใน (ซึ่ง SNAT ใช้ใน POSTROUTING)
ใน Linux ยังมีกฎประเภท NAT แบบคงที่เช่น เน็ตแมป ซึ่งค่อนข้างพิเศษและไม่ค่อยได้ใช้ ฉันสงสัยว่าคุณกำลังพูดถึงเรื่องนี้และคุณเคยเห็นวิธีการใด ๆ ที่กล่าวถึงกฎประเภทนี้
ลีนุกซ์ทำให้ ไม่มีความแตกต่างอย่างแน่นอน ระหว่างที่อยู่ส่วนตัว (RFC1918) และที่อยู่สาธารณะ คุณสามารถ NAT ซับเน็ตสาธารณะของคุณได้หากต้องการ (แต่จะเป็นการเสียที่อยู่) คุณสามารถปล่อยให้ IP ส่วนตัวไม่มีการแปล (แต่โดยปกติแล้วจะทำให้ไม่มีการเชื่อมต่ออินเทอร์เน็ตสำหรับพวกเขา)
VPN ไม่มีอะไรมากไปกว่าอินเทอร์เฟซเครือข่ายเพิ่มเติมในเครื่องและควรได้รับการปฏิบัติเช่นนี้ ดังนั้น คุณจึงได้รับอนุญาตให้ใช้ที่อยู่สาธารณะสำหรับ VPN หากคุณมี ตัวอย่างเช่น ฉันอาจมีซับเน็ต /29 บางส่วนที่เราเตอร์ VPN กำหนดเส้นทางและตั้งค่า OpenVPN ดังนั้นซับเน็ตสาธารณะทั้งหมดนี้จะเป็นเครือข่าย VPN ของฉัน! แม้ว่าตัวอย่าง OpenVPN จะดูประดิษฐ์ แต่ WireGuard ก็เป็นเช่นนั้น มาก มีแนวโน้มที่จะกำหนดค่าเช่นนั้น ตัวอย่างเช่น โซลูชันเนมสเปซใหม่ อนุญาตให้ wireguard เป็นอินเทอร์เฟซเดียวในระบบ หากมีข้อกำหนดสำหรับระบบที่จะมี IP สาธารณะโดยตรง (ฉันจะไม่พูดถึงสาเหตุใดๆ ที่อาจมาจากข้อกำหนดนี้) ท้ายที่สุดคุณจะต้องใช้ IP สาธารณะภายใน VPN อย่างหลีกเลี่ยงไม่ได้! เป็นไปได้มากว่าไม่มี NAT สำหรับพวกเขา
หากปลายทางสามารถกำหนดเส้นทางการรับส่งข้อมูลไปยังต้นทางได้ ก็ไม่จำเป็นต้องใช้ NAT หรือ PAT
ตัวอย่างเช่น ไม่จำเป็นต้องใช้ NAT/PAT หากไคลเอนต์ VPN ใน 10.8.0.0/24 ต้องการพูดคุยกับอุปกรณ์ LAN ของคุณใน 192.168.1.0/24 ตราบใดที่อุปกรณ์ที่เกี่ยวข้องสามารถกำหนดเส้นทางไปยังเครือข่ายอื่น (ผ่านเกตเวย์ ).
เมื่อต้นทางอยู่ในเครือข่าย rfc1918 (private IP) และปลายทางเป็น IP สาธารณะ เนื่องจากเครือข่าย rfc1918 ไม่สามารถกำหนดเส้นทางผ่านอินเทอร์เน็ตได้ NAT จึงจำเป็นต้องแทนที่ IP ส่วนตัวด้วย IP สาธารณะ นี่คือการแปลที่อยู่ต้นทาง งานนี้สามารถทำได้โดย SNAT ไม่ใช่ PAT
นอกจากนี้ คุณคิดผิดโดยถือว่า SNAT/MASQUERADE ไม่เปลี่ยนพอร์ตต้นทาง
อ็อพชัน --to-source ใช้เพื่อระบุว่าแพ็กเก็ตควรใช้ต้นทางใด วิธีที่ง่ายที่สุดคือตัวเลือกนี้ใช้ที่อยู่ IP หนึ่งรายการซึ่งเราต้องการใช้สำหรับที่อยู่ IP ต้นทางในส่วนหัวของ IP หากเราต้องการสร้างสมดุลระหว่างที่อยู่ IP ต่างๆ เราสามารถใช้ช่วงของที่อยู่ IP โดยคั่นด้วยยัติภังค์ ตัวอย่างเช่น --to--source IP number อาจเป็นเช่นในตัวอย่างข้างต้น: 194.236.50.155-194.236.50.160 IP ต้นทางสำหรับแต่ละสตรีมที่เราเปิดจะถูกจัดสรรแบบสุ่มจากสิ่งเหล่านี้ และสตรีมเดียวจะใช้ที่อยู่ IP เดียวกันสำหรับแพ็กเก็ตทั้งหมดภายในสตรีมนั้นเสมอ เรายังสามารถระบุช่วงของพอร์ตที่จะใช้โดย SNAT พอร์ตต้นทางทั้งหมดจะถูกจำกัดไว้ที่พอร์ตที่ระบุ พอร์ตบิตของกฎจะมีลักษณะตามตัวอย่างด้านบน: 1024-32000 สิ่งนี้ใช้ได้เฉพาะเมื่อระบุ -p tcp หรือ -p udp ที่ใดที่หนึ่งในการจับคู่ของกฎที่เป็นปัญหา iptables จะพยายามหลีกเลี่ยงการเปลี่ยนแปลงพอร์ตเสมอถ้าเป็นไปได้ แต่ถ้าสองโฮสต์พยายามใช้พอร์ตเดียวกัน iptables จะจับคู่หนึ่งในนั้นกับพอร์ตอื่น. หากไม่ได้ระบุช่วงของพอร์ต หากจำเป็น พอร์ตต้นทางทั้งหมดที่ต่ำกว่า 512 จะถูกแมปกับพอร์ตอื่นที่ต่ำกว่า 512 พอร์ตที่อยู่ระหว่างพอร์ตต้นทาง 512 และ 1023 จะถูกแมปกับพอร์ตที่ต่ำกว่า 1024 พอร์ตอื่นๆ ทั้งหมดจะถูกแมปกับ 1024 ขึ้นไปตามที่ระบุไว้ก่อนหน้านี้ iptables จะพยายามรักษาพอร์ตต้นทางที่ใช้โดยเวิร์กสเตชันจริงที่ทำการเชื่อมต่อเสมอ โปรดทราบว่าสิ่งนี้ไม่เกี่ยวข้องกับพอร์ตปลายทาง ดังนั้นหากไคลเอนต์พยายามติดต่อกับเซิร์ฟเวอร์ HTTP ภายนอกไฟร์วอลล์ ก็จะไม่ถูกแมปกับพอร์ตควบคุม FTP
https://www.frozentux.net/iptables-tutorial/iptables-tutorial.html#SNATTARGET
โปรดทราบว่าหากอุปกรณ์ของคุณต้องการเข้าถึงเซิร์ฟเวอร์ระยะไกลบนพอร์ตปลายทางที่กำหนด มีโอกาสที่ระบบปฏิบัติการจะกำหนดพอร์ตต้นทางแบบสุ่มมากกว่า 1024 พอร์ต การเข้าถึงเซิร์ฟเวอร์ HTTPS ระยะไกลบนพอร์ต 443 ไม่เกี่ยวว่าพอร์ตต้นทางคือ 443
คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา
