Yr un is-rwydwaith ar y ddau ben: mapiwch y LAN bell i ystod rydd

Mae'r cartref a'r swyddfa ill dau'n rhedeg 192.168.1.0/24, felly mae gan gais i 192.168.1.1 ddau ateb posibl ac mae'r cleient yn dewis un heb ofyn. Anaml y mae ailrifo rhwydwaith swyddfa sy'n gweithio yn boblogaidd, ac mae cyfeiriadau'r llwybrydd yn aml wedi'u pobi i mewn i argraffwyr, camerâu a dogfennau. Gall mapio cyfeiriadau ar ochr y cleient gyflwyno'r rhwydwaith pell o dan ystod rydd yn lle hynny, a gall y rhan gwesteiwr aros yr un fath fel bod 192.168.1.20 yn ymddangos fel 10.203.41.20. Yr hawdd ei golli yw mai dim ond rhai cleientiaid sy'n ei weithredu, ac nad yw'n gwneud dim i'r llwybr dychwelyd.

Dau olygfa o'r un gwesteiwr

Mae'r mapio'n cadw'r rhan gwesteiwr ac yn newid dim ond y rhan rhwydwaith. Yna mae'r un peiriant yn ateb ar ddau gyfeiriad yn dibynnu ble rydych chi'n sefyll. Mae ysgrifennu'r ddwy golofn i lawr cyn ffurfweddu unrhyw beth yn atal camddarllen logiau a rheolau mur tân yn ddiweddarach.

Mae dyfeisiau lleol gartref yn cadw eu cyfeiriadau 192.168.1.x eu hunain, a dyna bwynt yr ymarfer. Mae'r argraffydd yn yr ystafell nesaf yn parhau'n gyrraeddadwy tra bod y swyddfa'n ymddangos o dan ystod nad yw'n gwrthdaro.

Trefn yr ymresymiadau yw'r tric cyfan

Mae'r opsiwn yn cymryd cyfeiriad, rhwydwaith a mwgwd, ac alias: y rhwydwaith cyntaf yw'r hyn y mae'r cleient yn ei weld, yr alias yw'r hyn y mae'r gweinydd yn ei weld. Ar gyfer adnoddau sy'n byw y tu ôl i'r porth pell, y cyfeiriad yw'r ffurf gyrchfan. Gwrthdroi'r ddwy rwydwaith oherwydd bod y ddadl olaf yn cael ei galw'n alias yw'r camgymeriad sy'n cynhyrchu twnnel sy'n cysylltu ac nad yw'n mapio dim.

push "route 10.203.41.0 255.255.255.0"
push "client-nat dnat 10.203.41.0 255.255.255.0 192.168.1.0"

Y llwybr sy'n anfon pecynnau'r cleient ar gyfer yr ystod newydd i mewn i'r twnnel; mae'r cyfieithiad yn ailysgrifennu'r gyrchfan ar y ffordd drwodd. Mae ateb o 192.168.1.20 yn cael ei ailysgrifennu'n ôl i 10.203.41.20 fel bod y soced ar y cleient yn aros yn gyson. Mae un gwesteiwr yn gweithio'r un ffordd â mwgwd llawn hyd, cyhyd ag y mae'r llwybr a'r mapio'n disgrifio'r un cyfeiriad.

Mae hwn yn fapio cyfeiriad, nid yn fapio porth. Ni ellir gwahanu dwy wasanaeth ar un gwesteiwr ag ef, a bydd protocol sy'n ymgorffori cyfeiriadau IP y tu mewn i'w becyn yn dal i weld y rhai go iawn.

Nid yw'r mapio'n creu llwybr dychwelyd

Mae'r cyfieithiad yn digwydd ar y cleient, felly mae'n rhaid i'r gweinydd lwybro atebion i'r twnnel o hyd ac mae'n rhaid i'w fur tân eu caniatáu o hyd. Os nad yw'r porth pell yn gwybod sut i gyrraedd is-rwydwaith y twnnel, mae'r cais yn cyrraedd ac mae'r ateb yn gadael drwy'r drws anghywir; dim ond gwneud i'r methiant edrych fel problem cleient y mae'r mapio'n ei wneud.

Dylai rheolau ochr y gweinydd ddisgrifio'r cyfeiriadau sy'n bodoli ar y gweinydd ar ôl y cyfieithiad, nid yr ystod sy'n weladwy i'r cleient. Mae copïo'r alias i reol caniatáu'n gwastraffu prynhawn, oherwydd nad oes unrhyw becyn ar yr ochr honno'n ei gario.

Dewiswch ystod alias nad yw'n gwrthdaro ag unrhyw beth arall y mae'r cleient yn ei lwybro: VPN arall, rhwydwaith cynhwysydd, ail swyddfa. Mae gwrthdaro yma'n ailgyflwyno'r amwysedd gwreiddiol o dan rif gwahanol ac yn anos ei weld oherwydd bod y cyfeiriadau'n edrych yn anghyfarwydd.

Mae enwau a phecynnau'n goroesi'r cyfieithiad

Mae enw gwesteiwr sy'n datrys i'r 192.168.1.20 go iawn yn anfon y porwr at y ddyfais leol yn lle'r un bell, beth bynnag y mae'r tabl llwybro'n ei ddweud. Rhaid i ateb DNS preifat bwyntio at yr ystod sy'n weladwy i'r cleient, tra bod y dystysgrif TLS yn dal i gario'r enw y mae'r cymhwysiad yn ei ddisgwyl. Profwch gyda'r enw yn hytrach na'r cyfeiriad, oherwydd gall y cyfeiriad weithio tra bod yr enw'n datrys yn dawel y ffordd anghywir. Pan fydd y porth pell hefyd yn gwasanaethu'r parth hwnnw, mae angen yr ystod sy'n weladwy i'r cleient ar ei gofnodion ei hun hefyd.

Gall ailgyfeiriadau, URLau wedi'u mewnblannu a chymhwysiadau sy'n dosbarthu eu cyfeiriad eu hunain mewn pecyn dorri mewn ffyrdd na all unrhyw fapio pecynnau eu trwsio. Triniwch y rhain fel problem cymhwysiad a mesurwch yr ymdrech yn unol â hynny cyn addo nad oes angen ailrifo.

Tair gwiriad cyn ymrwymo

Yn gyntaf, cadarnhewch weithrediad y cleient. Mae Community OpenVPN yn cefnogi'r opsiwn hwn; mae sylfaen cod OpenVPN 3 yn ei restru ymhlith nodweddion heb eu cefnogi, felly gall proffil a wthir at gleient ar ddull Connect ei anwybyddu'n syml. Mae cyfarwyddeb sy'n cael ei derbyn ac nad yw byth yn cael ei chymhwyso yn waeth na gwall, oherwydd bod y twnnel yn edrych yn iach.

Yn ail, gwiriwch y llwybr a'r cyfieithiad ar wahân gyda ffenestr ddiagnostig fer ar eirioldeb uchel, yna profwch y gwasanaeth ei hun yn hytrach na phing. Yn drydydd, cadarnhewch fod y llwybrydd lleol a'r adnodd pell yn parhau'n wahaniaethadwy oddi wrth y cleient, gan mai dyna oedd y nod gwreiddiol.

Os na all y cleient wneud y cyfieithiad, gofynnwch am help gan ochr y porth neu dderbyniwch ailrifo. Nid yw ychwanegu mwy o lwybrau ar gyfer yr un cyfeiriad yn ddyluniad.