Tại sao mọi người sử dụng MASQUERADE/SNAT thay vì NAPT/PAT?

Câu chuyện

Tôi có giao diện ảo bảo vệ dây VPN wg0 (có thể là bất cứ thứ gì khác) và giao diện vật lý eth0. Tôi muốn định tuyến các gói từ VPN đến mạng LAN của mình hoặc từ giao diện này sang giao diện khác.

Hầu như tất cả các blog, bài viết, hướng dẫn đều đưa ra lời khuyên sử dụng MẶT NẠ hoặc Nguồn NAT chỉ có: iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Hơn thế nữa, giả mạo IP chỉ đơn giản là SNAT (NAT nguồn), nó không thay đổi cổng nguồn.

Câu hỏi

• Tôi có sai không khi nghĩ rằng tôi nên sử dụng một GIỮA NGỦ/PAT thay thế?
• Để hoàn thiện, làm cách nào tôi có thể thêm quy tắc NAPT/PAT với iptables và/hoặc nftables?

suy nghĩ

Có thể có xung đột (cổng nguồn) giữa các gói được tạo bởi máy chủ và được chuyển tiếp từ wg0 (hoặc bất kỳ giao diện ảo/vật lý nào khác). IMHO NAPT phải được sử dụng để tránh những xung đột này.

RFC 2663, Dịch cổng địa chỉ mạng (NAPT)

Bằng cách nào đó bạn có sự phân biệt sai lầm giữa SNAT/GIẤU MẶT và GIỮA NGỦ/PAT. Nó không có ở đó.

Trong Linux, có hai loại quy tắc NAT động, bạn gọi cả hai loại này là "NAPT":

• NAT nguồn, có ý định giữ nguyên địa chỉ đích và chỉ thay đổi nguồn Địa chỉ. Đôi khi nó sẽ cũng thay đổi cổng nguồn. Ví dụ: nếu bảng theo dõi kết nối đã chứa bản ghi với thông tin cụ thể này (proto, src-addr, src-port, dst-addr, dst-port) tuple (src-addr và src-port là sau khi dịch), để có thể phân biệt cái nào là cái nào thì bản dịch mới phải dùng một cổng src khác (vì đây là bậc tự do duy nhất) nên hiện tượng "NAPT" tất yếu sẽ xảy ra. Các ví dụ về quy tắc kiểu SNAT là SNAT và MẶT NẠ. Sự khác biệt giữa chúng là với SNAT, bạn được yêu cầu chỉ định trong quy tắc dịch sang địa chỉ nào (và, có thể, phạm vi cổng nào sẽ sử dụng), trong khi với MASQUERADE, nó tự đưa ra lựa chọn, dựa trên giao diện mà gói được định sẵn để đi ra. Cả hai đều được cài đặt vào SAU ĐƯỜNG chuỗi, sau khi hầu hết quá trình xử lý khác đã diễn ra, bao gồm cả việc định tuyến gói tin. Loại quy tắc này được sử dụng để cho phép nhiều máy tính được ẩn sau một địa chỉ IP thoát duy nhất, ví dụ: để truy cập Internet cho mạng LAN, v.v. Điều này cũng sẽ bao gồm bất kỳ người dùng VPN nào, nếu bạn định truy cập Internet qua VPN.
• NAT đích, giữ nguyên địa chỉ nguồn và chỉ cập nhật điểm đến và, nếu bạn đã định cấu hình cổng đích, thì đây cũng là quy tắc "NAPT". Quy định của loại này là ADNT, CHUYỂN ĐỔI, CỤM và có thể là một số khác nữa, tôi không nhớ hết; chúng được cài đặt vào ĐẶT TRƯỚC chuỗi, bởi vì quyết định định tuyến thường phải được thay đổi dưới ảnh hưởng của quy tắc. Gói ban đầu được định sẵn cho chính máy (có địa chỉ của nó là đích đến) và sẽ được duyệt qua ĐẦU VÀO và tiếp cận một số quy trình cục bộ, thay vào đó đang được dịch và sau khi duyệt qua PHÍA TRƯỚC chuỗi nó đang được chuyển tiếp đến một số hệ thống khác. Hoặc ngược lại. Đi đâu, INPUT hoặc FORWARD, là quyết định định tuyến mà chúng ta phải thay đổi theo quy tắc. Loại quy tắc này được sử dụng để truy cập vào một số hệ thống nội bộ từ Internet.

Nhân tiện, đôi khi, cả hai các quy tắc có thể được sử dụng cho một gói (và kết nối). Đây là trường hợp đặc biệt, nhưng hữu ích nếu bạn cần các gói từ một số hệ thống bên ngoài (vì vậy DNAT phải được sử dụng trong PREROUTING) xuất hiện như là đến từ một số địa chỉ nội bộ (mà SNAT được sử dụng trong POSTROUTING).

Trong Linux cũng có các quy tắc kiểu NAT tĩnh như NETMAP khá đặc biệt và hiếm khi được sử dụng. Tôi nghi ngờ bạn đang nói về nó và rằng bạn đã thấy bất kỳ hướng dẫn nào đề cập đến loại quy tắc này.

Linux làm cho hoàn toàn không có sự phân biệt giữa địa chỉ riêng (RFC1918) và địa chỉ công cộng. Bạn có thể NAT mạng con công khai của mình nếu muốn (nhưng điều này sẽ gây lãng phí địa chỉ). Bạn có thể để các IP riêng mà không cần dịch (nhưng thông thường điều này sẽ dẫn đến việc không có kết nối Internet cho chúng).

VPN không gì khác hơn là giao diện mạng bổ sung trong máy và nên được xử lý như vậy. Do đó, bạn được phép sử dụng các địa chỉ công cộng cho VPN, nếu bạn có chúng. Ví dụ: tôi có thể có một số /29 mạng con được định tuyến đến bởi bộ định tuyến VPN và thiết lập OpenVPN để toàn bộ mạng con công khai này sẽ là mạng VPN của tôi! Trong khi ví dụ OpenVPN có vẻ giả tạo, thì WireGuard là nhiều nhiều khả năng được cấu hình như vậy. Ví dụ, giải pháp không gian tên mới cho phép wireguard là giao diện duy nhất trong hệ thống. Nếu có yêu cầu hệ thống phải trực tiếp có IP công cộng (tôi sẽ không thảo luận về bất kỳ lý do nào dẫn đến yêu cầu này), thì chắc chắn bạn sẽ phải sử dụng IP công cộng bên trong VPN! Rất có thể, không có bất kỳ NAT nào cho họ.