Два сайты, адна падсетка: пабудуйце від на аліяс для кожнага

Дзве кліенцкія пляцоўкі выкарыстоўваюць 192.168.50.0/24, і аддалены інжынер павінен дабрацца да прынтэра па тым жа адрасе на кожнай з іх. Ніякі трук маршрутызацыі не вырашыць гэтую неадназначнасць сам па сабе. Кожнай пляцоўцы патрэбны асобны від адрасоў, і шлюз павінен выбраць пляцоўку з гэтага віду, перш чым нешта перадаць.

План складаецца з чатырох частак: прэфіксы аліясаў, абодва напрамкі перакладу, палітыка накладзенага слоя і назвы. Кожная павінна ўзгадняцца з іншымі.

Выберыце адзін прэфікс аліяса на пляцоўку

Прызначце кожнай пляцоўцы цэлы прэфікс аліяса, які не належыць нікому іншаму ў інфраструктуры. План на дзве пляцоўкі можа адлюстраваць 192.168.50.0/24 пляцоўкі A у 172.21.10.0/24, а ідэнтычную лакальную сетку пляцоўкі B — у 172.21.20.0/24. Праверце кандыдатаў супраць кожнай задзейнічанай сеткі, уключаючы хмарныя VPC і іншыя пулы VPN. Прыватная адрасная прастора агульная для ўсіх арганізацый, таму тое, што дыяпазон уваходзіць у RFC 1918, нічога не кажа пра яго свабоду тут.

Публікуйце аліяс, а не родную падсетку, для аддаленых карыстальнікаў. Родны дыяпазон застаецца лакальным фактам.

Перакладайце ў абодвух напрамках

Перакладайце ў абодвух напрамках. Адлюстраванне прызначэння перапісвае адрас аліяса ў родны адрас на пляцоўцы-ўладальніку. Адлюстраванне крыніцы перапісвае аддаленага выклікальніка ў аліяс, які іншыя пляцоўкі могуць адрозніць.

Статычнае адлюстраванне адзін-да-аднаго дэтэрмінаванае, і гэта не робіць рэалізацыю бязстаннай. Зваротны пераклад можа залежаць ад стану злучэння, а адмова або асіметрычныя шляхі могуць зламаць план, які гэта ігнаруе. Дакументацыя платформы вызначае, які з гэтых выпадкаў ужываецца.

Дакладная стадыя, на якой ужываюцца палітыка, селектары і маршруты, адрозніваецца паміж IPsec на аснове палітыкі, тунелямі на аснове маршрутаў і іншымі прадуктамі. Праектуйце пад той, які вы запускаеце.

Правядзіце план праз накладзены слой

У канцэнтратары прызначце кожны прэфікс аліяса шляху пляцоўкі, якой ён належыць, і дазвольце толькі той транзіт, які патрабуе задача. У сетцы-сябраванні кожны адпаведны вузел патрабуе таго ж прэфікса і ведаў пра палітыку. Даданне тунеляў само па сабе не выпраўляе неадназначную адрасацыю.

Публікацыя ўсёй падсеткі шырэйшая за публікацыю адной паслугі. Калі патрэбныя толькі некалькі машын або партоў, трымайце правілы доступу вузейшымі за адлюстраванне.

Пераклад загалоўка не перапісвае карысную нагрузку праграм. Перанакіраванні, убудаваныя адрасы ў файлах канфігурацыі і дазволы на аснове крыніцы ўсё яшчэ могуць несці родны адрас. Тэстуйце шлях праграмы, а не толькі ping. Працоўны адказ ICMP даказвае, што адлюстраванне існуе, і нічога не кажа пра тое, ці прымае праграма аліяс.

Выпраўце назвы, якія бачыць кожны выклікальнік

Давайце назвам абслугоўвання адказы, што адпавядаюць віду выклікальніка. Калі аддалены інжынер развязвае імя хоста, яно павінна вяртаць адрас аліяса для гэтай пляцоўкі, а не агульны родны дыяпазон.

Праверце віды DNS для кожнай пляцоўкі перад першым акном абслугоўвання. Імя, якое развязваецца ў родную падсетку, вяртае выклікальніка ў тую неадназначнасць, якую план павінен быў прыбраць.

Запісвайце і правярайце па кожнай пляцоўцы

Прымайце кожную пляцоўку асобна ад рэальнага выклікальніка і пацвярджайце, якая машына адказала. Запішыце родны адрас, аліяс, шлюз-уладальнік і дазволеную паслугу разам.

Менавіта гэты інвентар захоўвае адрозненне, калі трэцяя пляцоўка прыходзіць з той жа лакальнай сеткай па змаўчанні. Кіраўніцтва па IPsec NAT на аснове палітыкі апісвае адну канкрэтную мадэль перакладу; гэта не кантракт для кожнай платформы.