Saytlararası VPN daxilində NAT nə vaxt öz yerini qazanır

İki sayt eyni şəxsi diapazondan istifadə edir və tunel qalxır, amma ondan heç bir faydalı şey keçmir. Tərcümə adi cavabdır və bu, real cavabdır: uzaq tərəfə fərqli diapazon təqdim etmək üst-üstə düşməni və ya digər şəbəkənin marşrutlaşdıra bilmədiyi qayıdış yolunu həll edə bilər. Atlanılan hissə odur ki, tərcümə sonrakı hər qərarın gördüyü ünvanları dəyişir. Bunu yazılı xəritələmə ilə sənədləşdirilmiş dizayn qərarı kimi qəbul edin, ping uğur qazanana qədər əlavə olunan qayda kimi deyil.

Hansı ünvanın yenidən yazılacağını müəyyən edin

Mənbə tərcüməsi uzaq xidmətin və onun jurnallarının müştəri kimi gördüyünü dəyişir, beləliklə filial hostu gəliş zamanı şlüz ünvanına çevrilir. Təyinat və ya prefiks tərcüməsi isə əvəzində uzaq resurs üçün alternativ ünvan təqdim edir. Bəzi yerləşdirmələr iki eyni şəbəkəni ayırmaq üçün hər iki tərəfdə əlaqələndirilmiş tərcümə tələb edir və qarışıqlığın çoxu məhz bu birləşmədən başlayır.

Tərcümədən əvvəl mənbəyi, tətbiqin adlandırdığı kimi təyinatı və hər şlüzün uyğunlaşdırdığı ünvan cütünü yazın. Üç sütun kifayətdir və üçüncü sütun insanların buraxdığı sütundur.

Selektor sırası da vacibdir. IPsec siyasətinin seçimi və tərcümə müəyyən mərhələlərdə baş verir, buna görə tərcümədən əvvəlki ünvanlar üçün yazılmış selektor paketə heç vaxt güman etdiyiniz mərhələdə uyğun gəlməyə bilər. Quraşdırılmış siyasəti yoxlayın, quraşdırmaq niyyətində olduğunuz siyasəti deyil, çünki ikisi məhz bir komponentin qaydanı qəbul edib digərinin ona məhəl qoymadığı yerdə ayrılır:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Yükü və qayıdış yolunu izləyin

Tərcümə olunmuş mənbəyi ayrı-ayrı filial hostu əvəzinə qeyd edən server orijinal ünvana bağlı hər hansı qaydanı və ya hesabatı pozacaq. Xəritələməni dəyişməzdən əvvəl aşağı axında hər hansı bir şeyin həmin sahədən qərar çıxarıb-çıxarmadığını öyrənin: giriş siyahıları, audit hesabatları, sürət limitləri, lisenziya yoxlamaları. Bunların hər biri tərcümənin sonradan izahsız nasazlıq kimi üzə çıxdığı yerdir.

Ünvanları yükünün içində daşıyan protokollar ayrı planlaşdırma tələb edir, çünki xarici başlığın yenidən yazılması daxili istinada toxunmur. Aktiv FTP, SIP və bəzi uzaq giriş məhsulları klassik hallardır və onları nəzərə almayan dizayn veb trafiki üçün işləyəcək, vacib olan tətbiq üçün isə uğursuz olacaq.

Qayıdış trafiki vəziyyətli xəritələmələrdən asılıdır. Şlüz keçidi həmin vəziyyəti itirə bilər, asimmetrik marşrutlaşdırma onu yan keçə bilər və yenidən başlatma uzaq tərəfdə sessiyalar açıq qalarkən onu təmizləyə bilər. Buna görə təyinat nöqtəsinə çatan sorğu ilə tamamlanan sessiya iki fərqli qəbul nəticəsidir.

Bunu saytın yenidən nömrələnməsi ilə müqayisə edin

Ziddiyyətli saytlardan birinin yenidən nömrələnməsi xəritələməni tamamilə aradan qaldırır və tərcümə cədvəlləri olmadan oxuna bilən ünvan planı qoyur. Əməliyyat baxımından bahalıdır: DNS qeydləri, statik təyinatlar, firewall qaydaları və hər sənədləşdirilmiş ünvan birlikdə dəyişməlidir. Xərc bir dəfə, planlaşdırılmış pəncərədə, aydın son vəziyyətlə çəkilir. Aldığınız şey illər sonra paket tutumunu axtarış cədvəli olmadan oxumaq qabiliyyətidir.

Tərcümə yerli dəyişikliklərin çoxundan qaçır və DNS-də, sənədləşdirmədə və problem aradan qaldırmada əbədi saxlanmalı olan xəritələmə yaradır. Xərc davamlı olaraq, bir prefiksin tunel daxilində başqa bir şey demək olduğunu öyrənməli olan hər gələcək mühəndis şəklində çəkilir.

Müvəqqəti əlaqə və ya idarə etmədiyiniz tərəfdaş şəbəkəsi üçün davamlı xərc adətən ödəməyə dəyər. Sahibi olduğunuz və illər boyu olacağınız iki sayt üçün isə miqrasiya dürüst hesablandıqda yenidən nömrələmə çox vaxt daha ucuz qərardır.

Hər iki istiqaməti real sessiya ilə sübut edin

Tək bir zond əvəzinə tətbiq sessiyasını sınaqdan keçirin. Uğurlu əks-səda sorğusu bir protokolun bir istiqamətinin işlədiyini sübut edir və bu, vəziyyətli hər şey üçün uğursuz olan qayıdış yolu ilə tam uyğundur. Dizaynı tələb edən xidmətdən istifadə edin və hansı mənbə ünvanını qeyd etdiyini görmək üçün uzaq tərəfdəki jurnalını oxuyun.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Sonra xəritələmə boyunca yalnız nəzərdə tutulan xidmətlərin əlçatan olduğunu təsdiqləyin. Tərcümə ünvanlaşdırmanı dəyişir və avtorizasiya ilə bağlı heç nə etmir, buna görə nəyə icazə verildiyini hələ də firewall siyasəti həll edir. Giriş nəzarəti kimi qeyri-müəyyən tərcümə olunmuş prefiksə güvənən dizaynın ümumiyyətlə giriş nəzarəti yoxdur.

Xəritələməni, sınaqdan keçirilmiş sessiyanı və hər tərəfin müşahidə etdiyi ünvanları qeyd edin. Bu tuneli sazlayacaq növbəti şəxsə konfiqurasiya faylından çox həmin üç fakt lazımdır.