Калі NAT унутры VPN паміж сайтамі апраўдвае сваё месца

Дзве пляцоўкі выкарыстоўваюць адзін і той жа прыватны дыяпазон, і тунель узнімаецца, але нічога карыснага праз яго не праходзіць. Трансляцыя — звычайны адказ, і гэта сапраўдны адказ: прад’яўленне іншага дыяпазону далёкаму боку можа вырашыць перасячэнне або зваротны шлях, які іншая сетка не можа маршрутызаваць. Прапускаецца тое, што трансляцыя змяняе адрасы, якія бачыць кожнае наступнае рашэнне. Стаўцеся да гэтага як да дакументаванага праектнага рашэння з пісьмовым адлюстраваннем, а не як да правіла, якое дадаюць, пакуль не пройдзе ping.

Вызначце, які адрас перапісваецца

Трансляцыя крыніцы змяняе тое, што далёкі сэрвіс і яго журналы бачаць як кліента, таму хаст філіяла прыбывае як адрас шлюза. Трансляцыя прызначэння або прэфікса прад’яўляе замест гэтага альтэрнатыўны адрас для далёкага рэсурсу. Некаторыя разгортванні патрабуюць узгодненай трансляцыі з абодвух бакоў, каб раздзяліць дзве аднолькавыя сеткі, і менавіта ў спалучэнні пачынаецца большасць блытаніны.

Запішыце крыніцу да трансляцыі, прызначэнне так, як яго называе праграма, і пару адрасоў, па якой супастаўляе кожны шлюз. Дастаткова трох слупкоў, і трэці слупок людзі звычайна прапускаюць.

Парадак селектараў таксама мае значэнне. Выбар і трансляцыя палітыкі IPsec адбываюцца на пэўных этапах, таму селектар, напісаны для адрасоў да трансляцыі можа ніколі не супасці з пакетам на этапе, які вы меркавалі. Правярайце ўстаноўленую палітыку, а не тую, якую вы збіраліся ўсталяваць, бо яны разыходзяцца менавіта тады, калі правіла прыняў адзін кампанент, а другі праігнараваў:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Сачыце за карыснай нагрузкай і зваротным шляхам

Сервер, які запісвае перакладзеную крыніцу замест асобнага хаста філіяла, зламае любое правіла або справаздачу, прывязаныя да зыходнага адраса. Перш чым змяніць адлюстраванне, высветліце, ці нешта ніжэй па плыні прымае рашэнне па гэтым полі: спісы доступу, справаздачы аўдыту, абмежаванні хуткасці, праверкі ліцэнзій. Кожнае з гэтага — месца, дзе трансляцыя пазней выяўляецца як невытлумачальная адмова.

Пратаколы, якія нясуць адрасы ўнутры карыснай нагрузкі, патрабуюць асобнага планавання, бо перапісванне вонкавага загалоўка не закранае ўнутраную спасылку. Актыўны FTP, SIP і некаторыя прадукты аддаленага доступу — класічныя выпадкі, і праект, які іх ігнаруе, будзе працаваць для вэб-трафіку і адмовіць для праграмы, якая мела значэнне.

Зваротны трафік залежыць ад адлюстраванняў са станам. Пераключэнне шлюза можа страціць гэты стан, асіметрычная маршрутызацыя можа яго абыйсці, а перазапуск можа яго ачысціць, пакуль сеансы застаюцца адкрытымі на далёкім баку. Таму запыт, які дасягае прызначэння, і сеанс, які завяршаецца, — два розныя вынікі прыёмкі.

Узважце гэта супраць перанумарацыі пляцоўкі

Перанумарацыя адной канфліктнай пляцоўкі цалкам прыбірае адлюстраванне і пакідае план адрасоў, які можна чытаць без табліц трансляцыі. Гэта аперацыйна дорага: запісы DNS, статычныя прызначэнні, правілы фільтра і кожны дакументаваны адрас павінны змяніцца разам. Выдаткі прыходзяць адзін раз, у запланаванае акно, з ясным канчатковым станам. Што вы купляеце — гэта здольнасць прачытаць захоп пакетаў праз гады без табліцы пошуку.

Трансляцыя пазбягае большасці лакальных змен і стварае адлюстраванне, якое давядзецца падтрымліваць у DNS, дакументацыі і дыягностыцы назаўсёды. Выдаткі прыходзяць безупынна, у выглядзе кожнага будучага інжынера, якому давядзецца даведацца, што адзін прэфікс азначае нешта іншае ўнутры тунеля.

Для часовага злучэння або партнёрскай сеткі, якой вы не кіруеце, безупынныя выдаткі звычайна апраўданыя. Для дзвюх пляцоўкаў, якімі вы валодаеце і будзеце валодаць гадамі, перанумарацыя часта таннейшае рашэнне, калі міграцыю палічыць сумленна.

Дакажыце абодва кірункі рэальным сеансам

Тэстуйце сеанс праграмы, а не адзін зонд. Паспяховы запыт рэха даказвае, што адзін кірунак аднаго пратаколу працуе, і гэта цалкам сумяшчальна са зваротным шляхам, які адмаўляе для ўсяго са станам. Выкарыстоўвайце сэрвіс, які матываваў праект, і прачытайце яго журнал на далёкім баку, каб убачыць, які адрас крыніцы ён запісаў.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Затым пацвердзіце, што праз адлюстраванне дасягальныя толькі прызначаныя сэрвісы. Трансляцыя змяняе адрасацыю і нічога не робіць для аўтарызацыі, таму палітыка фільтра па-ранейшаму вырашае, што дазволена. Праект, які спадзяецца на невядомы перакладзены прэфікс як на кантроль доступу, не мае кантролю доступу наогул.

Запішыце адлюстраванне, пратэставаны сеанс і адрасы, якія назіраў кожны бок. Наступнаму чалавеку, які будзе адладжваць гэты тунель, гэтыя тры факты патрэбныя больш, чым файл канфігурацыі.