موقعان، شبكة فرعية واحدة: ابنِ عرضًا مستعارًا لكل منهما

يستخدم موقعان للعملاء كلاهما 192.168.50.0/24، ويحتاج مهندس عن بُعد إلى الوصول إلى طابعة على العنوان نفسه في كل منهما. لا توجد حيلة توجيه تحل هذا الالتباس بمفردها. يحتاج كل موقع إلى عرض عناوين مميز، ويجب أن تختار البوابة الموقع من ذلك العرض قبل أن تمرر أي شيء.

تتكون الخطة من أربعة أجزاء: بادئات مستعارة، واتجاها الترجمة، وسياسة الطبقة التراكبية، والأسماء. ويجب أن يتوافق كل جزء مع الآخر.

اختر بادئة مستعارة واحدة لكل موقع

خصّص لكل موقع بادئة مستعارة كاملة لا تخص أحدًا آخر في الشبكة. قد تربط خطة لموقعين 192.168.50.0/24 الخاصة بالموقع A بـ 172.21.10.0/24، والشبكة المحلية المطابقة للموقع B بـ 172.21.20.0/24. افحص المرشحين مقابل كل شبكة مشاركة، بما في ذلك شبكات VPC السحابية ومجمعات VPN الأخرى. مساحة العناوين الخاصة مشتركة بين كل المؤسسات، لذا كون النطاق ضمن RFC 1918 لا يعني أنه متاح هنا.

انشر العرض المستعار، لا الشبكة الفرعية الأصلية، للمستخدمين عن بُعد. يبقى النطاق الأصلي حقيقة محلية.

ترجم في الاتجاهين

ترجم في الاتجاهين. تعيد خريطة الوجهة كتابة عنوان مستعار إلى العنوان الأصلي في الموقع المالك. تعيد خريطة المصدر كتابة المتصل البعيد إلى عنوان مستعار تستطيع المواقع الأخرى تمييزه.

الخريطة الثابتة واحد لواحد حتمية، وهذا لا يجعل التنفيذ بلا حالة. قد تعتمد الترجمة العكسية على حالة الاتصال، وقد يفسد تجاوز الفشل أو المسارات غير المتماثلة خطة تتجاهل ذلك. تحدد وثائق المنصة أي هذه الحالات ينطبق.

تختلف المرحلة الدقيقة التي تُطبَّق فيها السياسة والمحددات والمسارات بين IPsec القائم على السياسة والأنفاق القائمة على التوجيه ومنتجات أخرى. صمّم للنموذج الذي تشغله.

احمل الخطة عبر الطبقة التراكبية

في المحور، خصّص كل بادئة مستعارة لمسار الموقع الذي يملكها واسمح فقط بالعبور الذي تحتاجه المهمة. في الشبكة المتشابكة، يحتاج كل نظير ذي صلة إلى البادئة نفسها ومعرفة السياسة. إضافة الأنفاق لا تصلح العنونة الملتبسة بحد ذاتها.

نشر الشبكة الفرعية كاملة أوسع من نشر خدمة واحدة. إذا كانت هناك حاجة إلى بضعة أجهزة أو منافذ فقط، فأبقِ قواعد الوصول أضيق من الخريطة.

لا تعيد ترجمة الرأس كتابة حمولات التطبيق. يمكن أن تظل إعادة التوجيه والعناوين المضمنة في ملفات التكوين والأذونات القائمة على المصدر تحمل العنوان الأصلي. اختبر مسار التطبيق، لا ping فقط. يثبت رد ICMP العامل وجود الخريطة ولا يقول شيئًا عن قبول التطبيق للعنوان المستعار.

أصلح الأسماء التي يراها كل متصل

امنح أسماء الصيانة إجابات تطابق عرض المتصل. إذا حلّ المهندس البعيد اسم مضيف، فينبغي أن يعيد العنوان المستعار لذلك الموقع، لا النطاق الأصلي المشترك.

افحص عروض DNS لكل موقع قبل نافذة الصيانة الأولى. الاسم الذي يُحل إلى الشبكة الفرعية الأصلية يعيد المتصل إلى الالتباس الذي كان المفروض أن تزيله الخطة.

سجّل وتحقق لكل موقع

اقبل كل موقع على حدة من متصل حقيقي وأكد أي جهاز أجاب. سجّل العنوان الأصلي والعنوان المستعار والبوابة المالكة والخدمة المسموح بها معًا.

هذا الجرد هو ما يحفظ التمييز عندما يصل موقع ثالث بالشبكة المحلية الافتراضية نفسها. يوثّق دليل IPsec NAT القائم على السياسة نموذج ترجمة واحدًا ملموسًا؛ وهو ليس عقدًا لكل منصة.