Πότε το NAT μέσα σε VPN από τοποθεσία σε τοποθεσία κερδίζει τη θέση του

Δύο τοποθεσίες χρησιμοποιούν και οι δύο το ίδιο ιδιωτικό εύρος και η σήραγγα ανεβαίνει ενώ τίποτα χρήσιμο δεν τη διασχίζει. Η μετάφραση είναι η συνήθης απάντηση και είναι πραγματική: η παρουσίαση διαφορετικού εύρους στην απομακρυσμένη πλευρά μπορεί να λύσει μια επικάλυψη ή μια διαδρομή επιστροφής που το άλλο δίκτυο δεν μπορεί να δρομολογήσει. Το μέρος που παραλείπεται είναι ότι η μετάφραση αλλάζει τις διευθύνσεις που βλέπει κάθε επόμενη απόφαση. Αντιμετωπίστε το ως τεκμηριωμένη σχεδιαστική απόφαση με γραπτή αντιστοίχιση, όχι ως κανόνα που προστίθεται μέχρι να πετύχει ένα ping.

Αποφασίστε ποια διεύθυνση ξαναγράφεται

Η μετάφραση πηγής αλλάζει το τι βλέπει η απομακρυσμένη υπηρεσία και τα αρχεία καταγραφής της ως πελάτη, ώστε ένας κεντρικός υπολογιστής υποκαταστήματος γίνεται διεύθυνση πύλης κατά την άφιξη. Η μετάφραση προορισμού ή προθέματος παρουσιάζει αντίθετα μια εναλλακτική διεύθυνση για απομακρυσμένο πόρο. Ορισμένες αναπτύξεις χρειάζονται συντονισμένη μετάφραση και στις δύο πλευρές για να διαχωρίσουν δύο κατά τα άλλα πανομοιότυπα δίκτυα, και ο συνδυασμός είναι εκεί όπου αρχίζει η περισσότερη σύγχυση.

Γράψτε την πηγή πριν από τη μετάφραση, τον προορισμό όπως τον ονομάζει η εφαρμογή και το ζεύγος διευθύνσεων στο οποίο αντιστοιχεί κάθε πύλη. Τρεις στήλες αρκούν, και η τρίτη στήλη είναι αυτή που οι άνθρωποι παραλείπουν.

Η σειρά των επιλογέων έχει επίσης σημασία. Η επιλογή και η μετάφραση πολιτικής IPsec συμβαίνουν σε καθορισμένα στάδια, οπότε ένας επιλογέας γραμμένος για διευθύνσεις πριν από τη μετάφραση μπορεί να μην ταιριάξει ποτέ με το πακέτο στο στάδιο που υποθέσατε. Ελέγξτε την πολιτική που είναι εγκατεστημένη αντί για την πολιτική που σκοπεύατε να εγκαταστήσετε, γιατί οι δύο αποκλίνουν ακριβώς όταν ένας κανόνας γίνεται δεκτός από ένα στοιχείο και αγνοείται από άλλο:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Ακολουθήστε το φορτίο και τη διαδρομή επιστροφής

Ένας διακομιστής που καταγράφει τη μεταφρασμένη πηγή αντί για τον μεμονωμένο κεντρικό υπολογιστή του υποκαταστήματος θα σπάσει κάθε κανόνα ή αναφορά που βασίζεται στην αρχική διεύθυνση. Πριν αλλάξετε την αντιστοίχιση, βρείτε αν κάτι πιο κάτω παίρνει απόφαση από αυτό το πεδίο: λίστες πρόσβασης, αναφορές ελέγχου, όρια ρυθμού, ελέγχους άδειας. Κάθε ένα από αυτά είναι ένα σημείο όπου η μετάφραση εμφανίζεται αργότερα ως ανεξήγητη αποτυχία.

Τα πρωτόκολλα που μεταφέρουν διευθύνσεις μέσα στο φορτίο τους χρειάζονται ξεχωριστό σχεδιασμό, γιατί η επανεγγραφή της εξωτερικής κεφαλίδας δεν αγγίζει την εσωτερική αναφορά. Το ενεργό FTP, το SIP και ορισμένα προϊόντα απομακρυσμένης πρόσβασης είναι οι κλασικές περιπτώσεις, και ένας σχεδιασμός που τα αγνοεί θα λειτουργεί για κίνηση ιστού και θα αποτυγχάνει για την εφαρμογή που είχε σημασία.

Η κίνηση επιστροφής εξαρτάται από αντιστοιχίσεις με κατάσταση. Η εναλλαγή πύλης μπορεί να χάσει αυτή την κατάσταση, η ασύμμετρη δρομολόγηση μπορεί να την παρακάμψει και μια επανεκκίνηση μπορεί να τη σβήσει ενώ οι συνεδρίες παραμένουν ανοιχτές στην απομακρυσμένη πλευρά. Γι' αυτό ένα αίτημα που φτάνει στον προορισμό και μια συνεδρία που ολοκληρώνεται είναι δύο διαφορετικά αποτελέσματα αποδοχής.

Ζυγίστε το απέναντι στην επαναρίθμηση μιας τοποθεσίας

Η επαναρίθμηση μιας συγκρουόμενης τοποθεσίας αφαιρεί την αντιστοίχιση εντελώς και αφήνει ένα σχέδιο διευθύνσεων που μπορεί να διαβαστεί χωρίς πίνακες μετάφρασης. Είναι λειτουργικά δαπανηρή: οι εγγραφές DNS, οι στατικές εκχωρήσεις, οι κανόνες τείχους προστασίας και κάθε τεκμηριωμένη διεύθυνση πρέπει να αλλάξουν μαζί. Το κόστος έρχεται μία φορά, σε προγραμματισμένο παράθυρο, με σαφή τελική κατάσταση. Αυτό που αγοράζετε είναι η ικανότητα να διαβάζετε μια σύλληψη πακέτων χρόνια αργότερα χωρίς πίνακα αναζήτησης.

Η μετάφραση αποφεύγει τις περισσότερες τοπικές αλλαγές και δημιουργεί μια αντιστοίχιση που πρέπει να συντηρείται στο DNS, στην τεκμηρίωση και στην αντιμετώπιση προβλημάτων για πάντα. Το κόστος έρχεται συνεχώς, με τη μορφή κάθε μελλοντικού μηχανικού που πρέπει να μάθει ότι ένα πρόθεμα σημαίνει κάτι άλλο μέσα στη σήραγγα.

Για μια προσωρινή σύνδεση ή ένα συνεργαζόμενο δίκτυο που δεν ελέγχετε, το συνεχές κόστος αξίζει συνήθως. Για δύο τοποθεσίες που κατέχετε και θα κατέχετε για χρόνια, η επαναρίθμηση είναι συχνά η φθηνότερη απόφαση όταν η μετανάστευση μετρηθεί ειλικρινά.

Αποδείξτε και τις δύο κατευθύνσεις με πραγματική συνεδρία

Δοκιμάστε μια συνεδρία εφαρμογής αντί για ένα μόνο ανιχνευτή. Ένα επιτυχές αίτημα ηχού αποδεικνύει ότι μια κατεύθυνση ενός πρωτοκόλλου λειτουργεί και είναι απολύτως συμβατό με μια διαδρομή επιστροφής που αποτυγχάνει για οτιδήποτε έχει κατάσταση. Χρησιμοποιήστε την υπηρεσία που ώθησε τον σχεδιασμό και διαβάστε το αρχείο καταγραφής της στο απομακρυσμένο άκρο για να δείτε ποια διεύθυνση πηγής κατέγραψε.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Στη συνέχεια επιβεβαιώστε ότι μόνο οι προβλεπόμενες υπηρεσίες είναι προσβάσιμες μέσω της αντιστοίχισης. Η μετάφραση αλλάζει τη διευθυνσιοδότηση και δεν κάνει τίποτα για την εξουσιοδότηση, οπότε η πολιτική του τείχους προστασίας εξακολουθεί να αποφασίζει τι επιτρέπεται. Ένας σχεδιασμός που βασίζεται σε ένα ασαφές μεταφρασμένο πρόθεμα ως έλεγχο πρόσβασης δεν έχει καθόλου έλεγχο πρόσβασης.

Καταγράψτε την αντιστοίχιση, τη δοκιμασμένη συνεδρία και τις διευθύνσεις που παρατήρησε κάθε πλευρά. Το επόμενο άτομο που θα αποσφαλματώσει αυτή τη σήραγγα χρειάζεται αυτά τα τρία γεγονότα περισσότερο από το αρχείο διαμόρφωσης.