Pryd mae NAT y tu mewn i VPN safle-i-safle yn ennill ei le

Mae dau safle’n defnyddio’r un ystod breifat, ac mae’r tiwnel yn codi tra nad oes unrhyw beth defnyddiol yn croesi. Cyfieithu yw’r ateb arferol, ac mae’n ateb go iawn: gall cyflwyno ystod wahanol i’r ochr bell ddatrys gorgyffwrdd neu lwybr dychwelyd na all y rhwydwaith arall ei lwybr. Y rhan sy’n cael ei hepgor yw bod cyfieithu’n newid y cyfeiriadau y mae pob penderfyniad diweddarach yn eu gweld. Triniwch ef fel penderfyniad dylunio wedi’i ddogfennu gyda mapio ysgrifenedig, nid fel rheol a ychwanegir nes bod ping yn llwyddo.

Penderfynwch pa gyfeiriad sy’n cael ei ailysgrifennu

Mae cyfieithu ffynhonnell yn newid yr hyn y mae’r gwasanaeth pell a’i logiau’n ei weld fel cleient, felly daw gwesteiwr cangen yn gyfeiriad porth ar gyrraedd. Mae cyfieithu cyrchfan neu ragddodiad yn cyflwyno cyfeiriad amgen ar gyfer adnodd pell yn lle hynny. Mae rhai gosodiadau angen cyfieithu cydlynol ar y ddwy ochr i wahanu dau rwydwaith sy’n union yr un fath, a’r cyfuniad yw lle mae’r rhan fwyaf o’r dryswch yn dechrau.

Ysgrifennwch y ffynhonnell cyn cyfieithu, y gyrchfan fel y mae’r ap yn ei henwi, a’r pâr cyfeiriad y mae pob porth yn cyd-fynd ag ef. Mae tair colofn yn ddigon, a’r drydedd golofn yw’r un y mae pobl yn ei hepgor.

Mae trefn y detholwyr yn bwysig hefyd. Mae dethol a chyfieithu polisi IPsec yn digwydd ar gamau diffiniedig, felly detholwr a ysgrifennwyd ar gyfer cyfeiriadau cyn cyfieithu efallai na fydd byth yn cyd-fynd â’r pecyn yn y cam y gwnaethoch ei dybio. Gwiriwch y polisi sydd wedi’i osod yn lle’r polisi yr oeddech yn bwriadu ei osod, oherwydd mae’r ddau’n gwahanu’n union pan fo rheol yn cael ei derbyn gan un gydran ac yn cael ei hanwybyddu gan un arall:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Dilynwch y llwyth a’r llwybr dychwelyd

Bydd gweinydd sy’n cofnodi’r ffynhonnell a gyfieithwyd yn lle gwesteiwr cangen unigol yn torri unrhyw reol neu adroddiad sy’n seiliedig ar y cyfeiriad gwreiddiol. Cyn i chi newid y mapio, darganfyddwch a oes unrhyw beth i lawr yr afon yn gwneud penderfyniad o’r maes hwnnw: rhestrau mynediad, adroddiadau archwilio, terfynau cyfradd, gwiriadau trwydded. Mae pob un o’r rhain yn lle y mae’r cyfieithu’n dod i’r amlwg yn ddiweddarach fel methiant na ellir ei esbonio.

Mae protocolau sy’n cario cyfeiriadau y tu mewn i’w llwyth angen cynllunio ar wahân, oherwydd nid yw ailysgrifennu’r pennawd allanol yn cyffwrdd â’r cyfeiriad mewnol. FTP gweithredol, SIP a rhai cynhyrchion mynediad o bell yw’r achosion clasurol, a bydd dyluniad sy’n eu hanwybyddu’n gweithio ar gyfer traffig gwe ac yn methu ar gyfer yr ap a oedd yn bwysig.

Mae traffig dychwelyd yn dibynnu ar fapio cyflwr. Gall methiant porth golli’r cyflwr hwnnw, gall llwybro anghymesur ei osgoi, a gall ailddechrau ei glirio tra bod sesiynau’n parhau ar agor ar yr ochr bell. Dyna pam mai cais sy’n cyrraedd y gyrchfan a sesiwn sy’n cwblhau yw dau ganlyniad derbyn gwahanol.

Pwyswch hyn yn erbyn ailonoddi safle

Mae ailonoddi un safle sy’n gwrthdaro yn tynnu’r mapio’n gyfan gwbl ac yn gadael cynllun cyfeiriadau y gellir ei ddarllen heb dablau cyfieithu. Mae’n ddrud yn weithredol: rhaid i gofnodion DNS, aseiniadau statig, rheolau wal dân a phob cyfeiriad wedi’i ddogfennu newid gyda’i gilydd. Mae’r gost yn dod unwaith, mewn ffenestr wedi’i chynllunio, gyda chyflwr terfynol clir. Yr hyn rydych yn ei brynu yw’r gallu i ddarllen cipiad pecynnau flynyddoedd yn ddiweddarach heb dabl chwilio.

Mae cyfieithu’n osgoi’r rhan fwyaf o newidiadau lleol ac yn creu mapio y mae’n rhaid ei gynnal mewn DNS, dogfennaeth a datrys problemau am byth. Mae’r gost yn dod yn barhaus, ar ffurf pob peiriannydd yn y dyfodol sy’n gorfod dysgu bod un rhagddodiad yn golygu rhywbeth arall y tu mewn i’r tiwnel.

Ar gyfer cysylltiad dros dro neu rwydwaith partner nad ydych yn ei reoli, mae’r gost barhaus fel arfer yn werth ei thalu. Ar gyfer dau safle rydych yn berchen arnynt ac y byddwch yn berchen arnynt am flynyddoedd, mae ailonoddi’n aml yn benderfyniad rhatach unwaith y bydd y mudo’n cael ei gyfrif yn onest.

Profwch y ddau gyfeiriad gyda sesiwn go iawn

Profwch sesiwn ap yn lle un prawf. Mae cais adlais llwyddiannus yn profi bod un cyfeiriad o un protocol yn gweithio, ac mae’n hollol gydnaws â llwybr dychwelyd sy’n methu ar gyfer unrhyw beth â chyflwr. Defnyddiwch y gwasanaeth a ysgogodd y dyluniad, a darllenwch ei log yn y pen pell i weld pa gyfeiriad ffynhonnell y cofnododd.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Yna cadarnhewch mai dim ond y gwasanaethau arfaethedig sy’n cyrraeddadwy drwy’r mapio. Mae cyfieithu’n newid cyfeirio ac yn gwneud dim am awdurdodi, felly mae polisi wal dân yn dal i benderfynu beth sy’n cael ei ganiatáu. Nid oes gan ddyluniad sy’n dibynnu ar ragddodiad cyfieithiedig aneglur fel ei reolaeth mynediad unrhyw reolaeth mynediad o gwbl.

Cofnodwch y mapio, y sesiwn a brofwyd a’r cyfeiriadau a welsant ar bob ochr. Mae’r person nesaf i ddadwallt y tiwnel hwn angen y tri ffaith hynny’n fwy nag y mae angen y ffeil ffurfweddu.