Twee terreine, een subnet: bou vir elkeen ’n alias-aansig

Twee kliëntterreine gebruik albei 192.168.50.0/24, en ’n afgeleë ingenieur moet by elkeen ’n drukker op dieselfde adres bereik. Geen roeteringstruuk los dié dubbelsinnigheid op sy eie op. Elke terrein het ’n eie adresaansig nodig, en die gw moet die terrein uit daardie aansig kies voordat dit enigiets aanstuur.

Die plan het vier dele: alias-voorvoegsels, albei vertaalrigtings, oorlegbeleid en name. Elkeen moet met die ander ooreenstem.

Kies een alias-voorvoegsel per terrein

Ken aan elke terrein ’n volledige alias-voorvoegsel toe wat aan niemand anders in die omgewing behoort nie. ’n Twee-terrein-plan kan byvoorbeeld Terrein A se 192.168.50.0/24 op 172.21.10.0/24 en Terrein B se identiese LAN op 172.21.20.0/24 afbeeld. Kontroleer die kandidate teen elke deelnemende netwerk, insluitend wolk-VPC's en ander VPN-poole. Private adresruimte word deur elke organisasie gedeel, so dat ’n reeks RFC 1918 is sê niks daaroor dat dit hier beskikbaar is nie.

Publiseer die alias, nie die oorspronklike subnet nie, aan afgeleë gebruikers. Die oorspronklike reeks bly ’n plaaslike feit.

Vertaal in albei rigtings

Vertaal in albei rigtings. Bestemmingskartering herskryf ’n alias-adres na die oorspronklike adres by die terrein wat dit besit. Bronkartering herskryf die afgeleë oproeper na ’n alias wat ander terreine kan onderskei.

’n Statiese een-tot-een-kartering is deterministies, en dit maak nie die implementering toestandloos nie. Omgekeerde vertaling kan van verbindingstoestand afhang, en oorskakeling of asimmetriese paaie kan ’n plan breek wat dit ignoreer. Die platform se dokumentasie bepaal watter van dié geld.

Die presiese stadium waar beleid, keurders en roetes toegepas word, verskil tussen beleidgebaseerde IPsec, roetegebaseerde tonnels en ander produkte. Ontwerp vir die een wat jy bedryf.

Dra die plan deur die oorleglaag

In ’n hub ken jy elke alias-voorvoegsel toe aan die terreinpad wat dit besit en laat slegs die deurvoer toe wat die taak nodig het. In ’n mesh het elke relevante eweknie dieselfde voorvoegsel en beleidkennis nodig. Om tonnels by te voeg los nie dubbelsinnige adressering op sigself op nie.

Heel-subnet-publikasie is breër as die publikasie van een diens. As slegs ’n paar masjiene of poorte nodig is, hou die toegangsreëls smaller as die kartering.

Kopvertaling herskryf nie toepassingsnuttelading nie. Herleidings, ingebedde adresse in konfigurasielêers en bron-gebaseerde toestemmings kan almal steeds die oorspronklike adres dra. Toets die toepassingspad, nie net die ping nie. ’n Werkende ICMP-antwoord bewys die kartering bestaan en sê niks oor of die toepassing die alias aanvaar nie.

Maak die name reg wat elke oproeper sien

Gee instandhoudingsname antwoorde wat by die oproeper se aansig pas. As die afgeleë ingenieur ’n gasheernaam oplos, moet dit die alias-adres vir daardie terrein teruggee, nie die gedeelde oorspronklike reeks nie.

Kontroleer DNS-aansigte per terrein voor die eerste instandhoudingsvenster. ’n Naam wat na die oorspronklike subnet oplos, stuur die oproeper terug in die dubbelsinnigheid wat die plan moes verwyder.

Teken op en verifieer per terrein

Aanvaar elke terrein afsonderlik van ’n werklike oproeper en bevestig watter masjien geantwoord het. Teken die oorspronklike adres, die alias, die eienaar-gw en die toegelate diens saam op.

Daardie inventaris is wat die onderskeid bewaar wanneer ’n derde terrein met dieselfde verstek-LAN opdaag. Die beleidgebaseerde IPsec NAT-gids dokumenteer een konkrete vertaalmodel; dit is nie ’n kontrak vir elke platform nie.