NAT على خادم VPN أم على الموجه؟ كلاهما يمكن أن يعمل

تحديد الاتصال كمسار افتراضي على حاسوب محمول هو الخطوة التي يتذكرها الجميع، وهي الخطوة التي لا تغيّر شيئًا على البوابة. صار العميل الآن يرسل طلبات الإنترنت إلى النفق؛ وما إذا كانت تغادر المبنى يعتمد على التمرير ونقطة ترجمة ومسار عودة يصل إلى عنوان العميل الخاص. يمكن لترتيبين أن يوفّرا الثلاثة كلها، وهما يضعان العمل في أماكن مختلفة، وكلاهما يفشل بالطريقة الصامتة نفسها عندما لا يتولى أحد مسؤولية اتجاه الرد. والاختيار بينهما سؤال عن من ينبغي أن يرى تجمع العملاء.

الأسطورة: مسار العميل يبني المخرج

الأنفاق القسرية سياسة على جانب العميل: فهي تقرر أن تمر الحركة عبر محول VPN بدلًا من المحول الفيزيائي. وتصف وثائق توجيه VPN من مايكروسوفت سلوك الفصل والفرض هذا، وهي حديث عن جدول مسارات العميل لا عن قواعد التمرير على الخادم. من وجهة نظر العميل، النفق هو مكان الإنترنت؛ ومن وجهة نظر البوابة، وصلت حزمة من عنوان لم يسمع به أحد في الأعلى. ولا أحد الجانبين مهيأ خطأً بمعزل عن الآخر، ولهذا يبدو العطل للموجود عند الحاسوب كخادم معطوب.

هذا التباين هو المشكلة كلها التي يحلها بقية هذا المقال. لا بد من شيء يجعل عنوان العميل الخاص قابلًا للعودة، والاختيار هو أين.

ارسم مسار الرد أولًا

اكتب المسار بأعنوان حقيقية قبل أن تلمس أي إعداد، وعلّم نقطتي الترجمة المرشحتين عليه. يستخدم هذا المختبر تجمع VPN هو 10.70.0.0/24 مع عميل واحد عند 10.70.0.37، وعنوان شبكة محلية للخادم هو 172.16.40.10، وموجه عند 172.16.40.1، ومخرج عام هو 203.0.113.40.

client 10.70.0.37 -- tunnel --> RRAS 172.16.40.10 -- LAN --> router 172.16.40.1 --> 203.0.113.40
                                  (translate here?)                             (or here?)

الخادم الذي يتصفح الإنترنت بالفعل يثبت مساره هو فقط. أما الحزمة التي تُمرَّر نيابة عن عميل فهي قرار مختلف، يتخذه سياسة التمرير على الجهاز نفسه، وهو القرار الغائب عادةً. وتعليم نقاط القرار الثلاث على المخطط يبقي الحديث عن واحدة منها في كل مرة.

الخيار أ: الترجمة على خادم VPN

هنا يترجم الخادم مصدر العميل إلى عنوان الشبكة المحلية الخاص به قبل تسليم الحزمة إلى الموجه، ثم يطبّق الموجه ترجمته العادية عند الخروج. وعند الرد، يعيد تعيين الموجه عنوان الخادم، ويعيد تعيين الخادم عنوان العميل. الترجمتان الحافظتان للحالة على التوالي أمر طبيعي وقابل للعمل، بشرط تسجيلهما معًا؛ ولا يحتاج الموجه أبدًا إلى مسار نحو التجمع، وهذا هو جاذبية هذا الترتيب.

Get-RemoteAccess | Select-Object VpnS2SInterface, RoutingDomain
Get-NetNat | Select-Object Name, InternalIPInterfaceAddressPrefix

استخدم هذه القراءات لترى ما لدى الخادم فعلًا بدلًا من افتراض وجود NAT. قاعدة masquerade في لينكس منسوخة من مدونة ليست إعدادًا في ويندوز، والسماح في جدار حماية المضيف للمستمع VPN ليس السياسة نفسها التي تسمح بتمرير طلب العميل إلى الأمام. تأكد من دور التمرير لدى الخادم من واجهة إدارته، ثم انظر إلى الترجمة على حدة، لأن الجزأين غالبًا ما يُفعّلان من أجزاء مختلفة من النشر.

الخيار ب: حمل التجمع إلى الموجه

في الترتيب الثاني يمرر الخادم عنوان المصدر الحقيقي للعميل، ويترجمه الموجه. هذا يبقي تجمع العملاء مرئيًا عند الحافة، وهو مفيد إذا كان الموجه هو مكان سياسة الحركة أو التسجيل أو الفحص. ويعني أيضًا أن الموجه يحتاج إلى مسار عودة من أجل 10.70.0.0/24 يشير إلى 172.16.40.10، وإلى سياسة إنترنت تشمل ذلك البادئة فعلًا؛ والقاعدة المكتوبة لشبكة LAN الفرعية لا تمتد بصمت إلى التجمع.

اختر هذا عندما يكون جهاز الحافة هو مالك السياسة المقصود ويستطيع قبول بادئة أخرى في جدولي التوجيه والترجمة. واختر الترجمة على جانب الخادم عندما ينبغي أن يبقى التجمع غير مرئي في الأعلى ولا يدير الموجه الفريق نفسه. ولا يُستنتج أي من الخيارين من أي مربع اختيار على العميل، ولا أحدهما أكثر أمانًا عمومًا؛ فهما يضعان الرؤية والصيانة في مكانين مختلفين.

اجعل DNS و IPv6 والقبول صريحًا

ترجمة العناوين لا تصلح تحليل الأسماء. قد يستخدم العميل مُحللًا يُسلَّم مع ملف تعريف VPN، أو مُحللًا خاصًا لنطاقات معينة، أو مُحللًا عامًا معتمدًا، والمُحلل غير القابل للوصول في إطار تلك السياسة سيظل يفشل بعد أن يعمل التوجيه. اختبر اسمًا وعنوانًا بشكل منفصل حتى لا يُدمج العطلان أبدًا في تقرير واحد.

يحتاج IPv6 إلى فقرة خاصة به في التصميم. الترجمة العاملة لـ IPv4 لا تقول شيئًا عن كون عملاء IPv6 لديهم مسار أو مصدر عام صالح أو سياسة تحجبهم عند سقوط النفق. وترك ذلك غير مذكور يعني أن نصف العملاء يتجاوزون البوابة بهدوء بينما يعمل النصف الآخر.

للقبول، تتبّع طلب عميل واحد مسموح به وردّه عبر الحدّين، واكتب العنوان الذي ينبغي أن يراه كل حدّ في تلك اللحظة. ذلك السجل هو ما يجعل تغيير التجمع التالي تعديلًا في خمس دقائق بدلًا من جدال حول من يملك مسار العودة المفقود. واحفظ السجل مع ملف تعريف العميل بدلًا من تذكرة، لأن الملف هو ما سيجده المهندس التالي أولًا.