NAT στον διακομιστή VPN ή στον δρομολογητή; Και τα δύο μπορούν να δουλέψουν

Το να σημάνετε μια σύνδεση ως προεπιλεγμένη διαδρομή σε ένα φορητό υπολογιστή είναι το βήμα που όλοι θυμούνται, και είναι ακριβώς αυτό που δεν αλλάζει τίποτα στην πύλη. Ο πελάτης στέλνει τώρα τα αιτήματα του διαδικτύου μέσα στη σήραγγα· αν βγουν από το κτίριο εξαρτάται από την προώθηση, ένα σημείο μετάφρασης και μια διαδρομή επιστροφής που φτάνει στην ιδιωτική διεύθυνση του πελάτη. Δύο διατάξεις μπορούν να παρέχουν και τα τρία, βάζουν τη δουλειά σε διαφορετικά σημεία, και οι δύο αποτυγχάνουν με τον ίδιο ήσυχο τρόπο όταν κανείς δεν έχει την ευθύνη της κατεύθυνσης απάντησης. Η επιλογή ανάμεσά τους είναι ερώτημα για το ποιος πρέπει να βλέπει τη δεξαμενή πελατών.

Ο μύθος: μια διαδρομή πελάτη χτίζει την έξοδο

Η εξαναγκασμένη σηραγγοποίηση είναι πολιτική στην πλευρά του πελάτη: αποφασίζει ότι η κίνηση πηγαίνει στον προσαρμογέα VPN αντί για τον φυσικό. Η τεκμηρίωση της Microsoft για τη δρομολόγηση VPN περιγράφει αυτόν τον διαχωρισμό και την εξαναγκασμένη συμπεριφορά, και είναι δήλωση για τον πίνακα δρομολόγησης του πελάτη, όχι για τους κανόνες προώθησης του διακομιστή. Από τη σκοπιά του πελάτη η σήραγγα είναι εκεί όπου ζει το διαδίκτυο· από τη σκοπιά της πύλης έφτασε ένα πακέτο από μια διεύθυνση που κανείς πιο πάνω δεν έχει ακούσει ποτέ. Καμία πλευρά δεν είναι εσφαλμένα ρυθμισμένη από μόνη της, και γι' αυτό η αστοχία μοιάζει με χαλασμένο διακομιστή για το άτομο στον φορητό.

Αυτή η αναντιστοιχία είναι όλο το πρόβλημα που λύνει το υπόλοιπο άρθρο. Κάτι πρέπει να κάνει την ιδιωτική διεύθυνση του πελάτη επιστρέψιμη, και η επιλογή είναι πού.

Σχεδιάστε πρώτα τη διαδρομή επιστροφής

Γράψτε τη διαδρομή με πραγματικές διευθύνσεις πριν αγγίξετε οποιαδήποτε ρύθμιση, και σημάνετε τα δύο υποψήφια σημεία μετάφρασης πάνω της. Αυτό το εργαστήριο χρησιμοποιεί μια δεξαμενή VPN 10.70.0.0/24 με έναν πελάτη στο 10.70.0.37, μια διεύθυνση LAN του διακομιστή 172.16.40.10, έναν δρομολογητή στο 172.16.40.1 και μια δημόσια έξοδο 203.0.113.40.

client 10.70.0.37 -- tunnel --> RRAS 172.16.40.10 -- LAN --> router 172.16.40.1 --> 203.0.113.40
                                  (translate here?)                             (or here?)

Ο διακομιστής που ήδη περιηγείται στο διαδίκτυο αποδεικνύει μόνο τη δική του διαδρομή. Ένα πακέτο που προωθείται για λογαριασμό πελάτη είναι διαφορετική απόφαση, που λαμβάνεται από την πολιτική προώθησης στο ίδιο μηχάνημα, και αυτή είναι που συνήθως λείπει. Η σήμανση των τριών σημείων απόφασης στο διάγραμμα κρατά τη συζήτηση σε ένα από αυτά κάθε φορά.

Επιλογή Α: μετάφραση στον διακομιστή VPN

Εδώ ο διακομιστής μεταφράζει την πηγή του πελάτη στη δική του διεύθυνση LAN πριν παραδώσει το πακέτο στον δρομολογητή, και ο δρομολογητής εφαρμόζει τη συνηθισμένη του μετάφραση στην έξοδο. Στην απάντηση, η αντιστοίχιση του δρομολογητή επαναφέρει τη διεύθυνση του διακομιστή και η αντιστοίχιση του διακομιστή επαναφέρει τη διεύθυνση του πελάτη. Δύο μεταφράσεις με κατάσταση σε σειρά είναι φυσιολογικές και εφαρμόσιμες, αρκεί να καταγράφονται και οι δύο· ο δρομολογητής δεν χρειάζεται ποτέ διαδρομή προς τη δεξαμενή, και αυτό είναι το πλεονέκτημα αυτής της διάταξης.

Get-RemoteAccess | Select-Object VpnS2SInterface, RoutingDomain
Get-NetNat | Select-Object Name, InternalIPInterfaceAddressPrefix

Χρησιμοποιήστε αυτές τις αναγνώσεις για να δείτε τι έχει ήδη ο διακομιστής αντί να υποθέσετε ότι υπάρχει NAT. Ένας κανόνας masquerade του Linux αντιγραμμένος από ένα blog δεν είναι ρύθμιση των Windows, και μια άδεια στο τείχος προστασίας του κεντρικού υπολογιστή για τον ακροατή VPN δεν είναι η ίδια πολιτική με την άδεια να προωθηθεί το αίτημα ενός πελάτη. Επιβεβαιώστε τον ρόλο προώθησης του διακομιστή από τη δική του επιφάνεια διαχείρισης, και μετά δείτε τη μετάφραση ξεχωριστά, γιατί τα δύο ενεργοποιούνται συχνά από διαφορετικά μέρη μιας ανάπτυξης.

Επιλογή Β: μεταφορά της δεξαμενής στον δρομολογητή

Στη δεύτερη διάταξη ο διακομιστής προωθεί την πραγματική διεύθυνση πηγής του πελάτη, και ο δρομολογητής τη μεταφράζει. Αυτό κρατά τη δεξαμενή πελατών ορατή στην άκρη, που βοηθά αν ο δρομολογητής είναι το μέρος όπου ζουν η πολιτική κίνησης, η καταγραφή ή η επιθεώρηση. Σημαίνει επίσης ότι ο δρομολογητής χρειάζεται διαδρομή επιστροφής για το 10.70.0.0/24 που δείχνει στο 172.16.40.10, καθώς και μια πολιτική διαδικτύου που περιλαμβάνει πραγματικά αυτό το πρόθεμα· ένας κανόνας γραμμένος για το υποδίκτυο LAN δεν επεκτείνεται ήσυχα στη δεξαμενή.

Διαλέξτε αυτό όταν η συσκευή άκρης είναι ο προβλεπόμενος ιδιοκτήτης της πολιτικής και μπορεί να δεχτεί άλλο πρόθεμα στους πίνακες δρομολόγησης και μετάφρασης. Διαλέξτε τη μετάφραση στην πλευρά του διακομιστή όταν η δεξαμενή πρέπει να μείνει αόρατη προς τα πάνω και ο δρομολογητής δεν διαχειρίζεται από την ίδια ομάδα. Καμία επιλογή δεν υπονοείται από οποιοδήποτε πλαίσιο ελέγχου στον πελάτη, και καμία δεν είναι γενικά ασφαλέστερη· τοποθετούν την ορατότητα και τη συντήρηση σε διαφορετικά μέρη.

Κάντε το DNS, το IPv6 και την αποδοχή ρητά

Η μετάφραση διευθύνσεων δεν διορθώνει την επίλυση ονομάτων. Ο πελάτης μπορεί να χρησιμοποιεί έναν resolver που παρέχεται με το προφίλ VPN, έναν ιδιωτικό resolver για συγκεκριμένους χώρους ονομάτων ή έναν εγκεκριμένο δημόσιο, και ένας μη προσβάσιμος resolver υπό αυτή την πολιτική θα συνεχίσει να αποτυγχάνει αφού δουλέψει η δρομολόγηση. Δοκιμάστε ένα όνομα και μια διεύθυνση ξεχωριστά ώστε οι δύο αστοχίες να μη συγχωνεύονται ποτέ σε μία αναφορά.

Το IPv6 χρειάζεται τη δική του παράγραφο στον σχεδιασμό. Μια μετάφραση IPv4 που δουλεύει δεν λέει τίποτα για το αν οι πελάτες IPv6 έχουν διαδρομή, έγκυρη δημόσια πηγή ή πολιτική που τους μπλοκάρει όταν πέσει η σήραγγα. Το να το αφήσετε άρρητο σημαίνει ότι οι μισοί πελάτες παρακάμπτουν ήσυχα την πύλη ενώ οι άλλοι μισοί δουλεύουν.

Για την αποδοχή, ακολουθήστε ένα επιτρεπόμενο αίτημα πελάτη και την απάντησή του και στα δύο σύνορα, και γράψτε ποια διεύθυνση πρέπει να βλέπει κάθε σύνορο εκείνη τη στιγμή. Αυτό το αρχείο είναι που κάνει την επόμενη αλλαγή δεξαμενής μια επεξεργασία πέντε λεπτών αντί για καβγά για το ποιος κατέχει τη χαμένη διαδρομή επιστροφής. Κρατήστε το αρχείο με το προφίλ του πελάτη και όχι σε ένα δελτίο, αφού το προφίλ είναι αυτό που θα βρει πρώτο ο επόμενος μηχανικός.