NAT ar y gweinydd VPN neu ar y llwybrydd? Gall y ddau weithio

Nodi cysylltiad fel y llwybr diofyn ar liniadur yw’r cam y mae pawb yn ei gofio, a dyna’r un sy’n newid dim ar y giât. Nawr mae’r cleient yn anfon ceisiadau rhyngrwyd i mewn i’r twnnel; a ydyn nhw’n gadael yr adeilad yn dibynnu ar anfon ymlaen, pwynt cyfieithu a llwybr dychwelyd sy’n cyrraedd cyfeiriad preifat y cleient. Gall dau drefniant ddarparu’r tri, maen nhw’n rhoi’r gwaith mewn gwahanol leoedd, ac mae’r ddau yn methu yn yr un ffordd dawel pan nad oes neb yn berchen ar gyfeiriad yr ateb. Mae dewis rhyngddynt yn gwestiwn ynghylch pwy ddylai weld y pwll cleientiaid.

Y myth: mae llwybr cleient yn adeiladu’r allanfa

Mae tunelu gorfodol yn bolisi ar ochr y cleient: mae’n penderfynu bod traffig yn mynd i’r addasydd VPN yn lle’r un ffisegol. Mae dogfennaeth llwybro VPN Microsoft yn disgrifio’r ymraniad a’r ymddygiad gorfodol hwnnw, ac mae’n ddatganiad am dabl llwybrau’r cleient yn hytrach nag am reolau anfon ymlaen y gweinydd. O safbwynt y cleient, y twnnel yw lle mae’r rhyngrwyd yn byw; o safbwynt y giât, daeth pecyn o gyfeiriad nad oes neb yn uwch i fyny erioed wedi clywed amdano. Nid oes yr un ochr wedi’i ffurfweddu’n anghywir ar ei phen ei hun, a dyna pam mae’r methiant yn edrych fel gweinydd wedi torri i’r person wrth y liniadur.

Yr anghysondeb hwnnw yw’r broblem gyfan y mae gweddill yr erthygl hon yn ei datrys. Rhaid i rywbeth wneud cyfeiriad preifat y cleient yn ddychweladwy, a’r dewis yw ble.

Tynnwch y llwybr ateb yn gyntaf

Ysgrifennwch y llwybr gyda chyfeiriadau go iawn cyn cyffwrdd ag unrhyw osodiad, a nodwch y ddau bwynt cyfieithu posibl arno. Mae’r lab hwn yn defnyddio pwll VPN o 10.70.0.0/24 gydag un cleient yn 10.70.0.37, cyfeiriad LAN y gweinydd yn 172.16.40.10, llwybrydd yn 172.16.40.1 ac allanfa gyhoeddus yn 203.0.113.40.

client 10.70.0.37 -- tunnel --> RRAS 172.16.40.10 -- LAN --> router 172.16.40.1 --> 203.0.113.40
                                  (translate here?)                             (or here?)

Mae’r gweinydd sy’n pori’r rhyngrwyd yn barod yn profi ei lwybr ei hun yn unig. Mae pecyn a anfonir ymlaen ar ran cleient yn benderfyniad gwahanol, a wneir gan bolisi anfon ymlaen ar yr un peiriant, a dyna’r un sydd fel arfer ar goll. Mae nodi’r tri phwynt penderfynu ar y diagram yn cadw’r sgwrs am un ohonynt ar y tro.

Opsiwn A: cyfieithu ar y gweinydd VPN

Yma mae’r gweinydd yn cyfieithu ffynhonnell y cleient i’w gyfeiriad LAN ei hun cyn rhoi’r pecyn i’r llwybrydd, ac mae’r llwybrydd yn cymhwyso ei gyfieithiad arferol ar y ffordd allan. Ar yr ateb, mae mapio’r llwybrydd yn adfer cyfeiriad y gweinydd ac mae mapio’r gweinydd yn adfer cyfeiriad y cleient. Mae dau gyfieithiad cyflwr mewn cyfres yn normal ac yn ymarferol, ar yr amod bod y ddau’n cael eu cofnodi; nid oes angen llwybr i’r pwll ar y llwybrydd byth, a dyna apêl y trefniant hwn.

Get-RemoteAccess | Select-Object VpnS2SInterface, RoutingDomain
Get-NetNat | Select-Object Name, InternalIPInterfaceAddressPrefix

Defnyddiwch y darlleniadau hyn i weld beth sydd gan y gweinydd yn barod yn lle tybio bod NAT yn ei le. Nid yw rheol masquerade Linux a gopïwyd o flog yn ffurfweddiad Windows, ac nid yw caniatâd yn mur tân y gwesteiwr ar gyfer gwrandawr VPN yr un polisi â chaniatâd i anfon cais cleient ymlaen. Cadarnhewch rôl anfon ymlaen y gweinydd o’i arwyneb rheoli ei hun, yna edrychwch ar gyfieithu ar wahân, oherwydd mae’r ddau yn aml yn cael eu galluogi gan wahanol rannau o ddefnydd.

Opsiwn B: cludo’r pwll i’r llwybrydd

Yn yr ail drefniant mae’r gweinydd yn anfon cyfeiriad ffynhonnell go iawn y cleient ymlaen, ac mae’r llwybrydd yn ei gyfieithu. Mae hynny’n cadw’r pwll cleientiaid yn weladwy ar yr ymyl, sy’n helpu os mai’r llwybrydd yw lle mae polisi traffig, logio neu archwilio yn byw. Mae hefyd yn golygu bod angen llwybr dychwelyd ar y llwybrydd ar gyfer 10.70.0.0/24 sy’n pwyntio at 172.16.40.10, ynghyd â pholisi rhyngrwyd sy’n cynnwys y rhagddodiad hwnnw mewn gwirionedd; nid yw rheol a ysgrifennwyd ar gyfer is-rwydwaith LAN yn ymestyn yn dawel i’r pwll.

Dewiswch hwn pan mai’r ddyfais ymylol yw perchennog y polisi arfaethedig a phan all dderbyn rhagddodiad arall yn ei thablau llwybro a chyfieithu. Dewiswch y cyfieithu ar ochr y gweinydd pan ddylai’r pwll aros yn anweledig i fyny’r afon ac nad yw’r un tîm yn gweinyddu’r llwybrydd. Nid oes unrhyw flwch ticio ar y cleient yn awgrymu’r naill opsiwn na’r llall, ac nid yw’r naill yn fwy diogel yn gyffredinol; maen nhw’n rhoi gwelededd a chynnal a chadw mewn gwahanol leoedd.

Gwnewch DNS, IPv6 a derbyn yn eglur

Nid yw cyfieithu cyfeiriad yn trwsio datrysiad enwau. Gall y cleient ddefnyddio datryswr a ddarperir gyda’r proffil VPN, datryswr preifat ar gyfer enwau lleoedd penodol, neu un cyhoeddus a gymeradwywyd, a bydd datryswr na ellir ei gyrraedd o dan y polisi hwnnw yn parhau i fethu ar ôl i’r llwybro weithio. Profwch enw a chyfeiriad ar wahân fel nad yw’r ddau fethiant byth yn cael eu huno mewn un adroddiad.

Mae angen ei baragraff ei hun ar IPv6 yn y dyluniad. Nid yw cyfieithiad IPv4 sy’n gweithio yn dweud dim am a oes gan gleientiaid IPv6 lwybr, ffynhonnell gyhoeddus ddilys neu bolisi sy’n eu blocio pan fydd y twnnel yn cwympo. Mae gadael hynny heb ei ddweud yn golygu bod hanner y cleientiaid yn osgoi’r giât yn dawel tra bod y hanner arall yn gweithio.

Ar gyfer derbyn, dilynwch un cais cleient a ganiateir a’i ateb ar draws y ddau ffin, ac ysgrifennwch pa gyfeiriad y dylai pob ffin ei weld ar y munud hwnnw. Y cofnod hwnnw sy’n gwneud y newid pwll nesaf yn olygiad pum munud yn lle dadl ynghylch pwy sy’n berchen ar y llwybr dychwelyd coll. Cadwch y cofnod gyda’r proffil cleient yn hytrach nag mewn tocyn, gan mai’r proffil yw’r peth y bydd y peiriannydd nesaf yn ei ddarganfod gyntaf.