Δύο τοποθεσίες, ένα υποδίκτυο: φτιάξτε μια προβολή ψευδωνύμου για καθεμία

Δύο τοποθεσίες πελάτη εκτελούν και οι δύο 192.168.50.0/24, και ένας απομακρυσμένος μηχανικός πρέπει να φτάσει σε έναν εκτυπωτή στην ίδια διεύθυνση σε καθεμία. Κανένα τέχνασμα δρομολόγησης δεν λύνει αυτή την ασάφεια από μόνο του. Κάθε τοποθεσία χρειάζεται ξεχωριστή προβολή διευθύνσεων, και η πύλη πρέπει να επιλέξει την τοποθεσία από αυτή την προβολή πριν προωθήσει οτιδήποτε.

Το σχέδιο έχει τέσσερα μέρη: προθέματα ψευδωνύμων, τις δύο κατευθύνσεις μετάφρασης, πολιτική επικάλυψης και ονόματα. Κάθε μέρος πρέπει να συμφωνεί με τα άλλα.

Επιλέξτε ένα πρόθεμα ψευδωνύμου ανά τοποθεσία

Αναθέστε σε κάθε τοποθεσία ένα ολόκληρο πρόθεμα ψευδωνύμου που δεν ανήκει σε κανέναν άλλον στο περιβάλλον. Ένα σχέδιο δύο τοποθεσιών μπορεί να αντιστοιχίσει το 192.168.50.0/24 της τοποθεσίας A στο 172.21.10.0/24 και το ίδιο LAN της τοποθεσίας B στο 172.21.20.0/24. Ελέγξτε τους υποψηφίους απέναντι σε κάθε συμμετέχον δίκτυο, συμπεριλαμβανομένων των VPC cloud και άλλων δεξαμενών VPN. Ο ιδιωτικός χώρος διευθύνσεων μοιράζεται από κάθε οργανισμό, οπότε το ότι ένα εύρος είναι RFC 1918 δεν λέει τίποτα για το αν είναι ελεύθερο εδώ.

Δημοσιεύστε το ψευδώνυμο, όχι το εγγενές υποδίκτυο, στους απομακρυσμένους χρήστες. Το εγγενές εύρος παραμένει τοπικό γεγονός.

Μεταφράστε και προς τις δύο κατευθύνσεις

Μεταφράστε και προς τις δύο κατευθύνσεις. Η αντιστοίχιση προορισμού ξαναγράφει μια διεύθυνση ψευδωνύμου στην εγγενή διεύθυνση στην τοποθεσία που την κατέχει. Η αντιστοίχιση πηγής ξαναγράφει τον απομακρυσμένο καλούντα σε ψευδώνυμο που άλλες τοποθεσίες μπορούν να διακρίνουν.

Μια στατική αντιστοίχιση ένα προς ένα είναι ντετερμινιστική, και αυτό δεν κάνει την υλοποίηση χωρίς κατάσταση. Η αντίστροφη μετάφραση μπορεί να εξαρτάται από την κατάσταση της σύνδεσης, και η εναλλαγή σε εφεδρεία ή οι ασύμμετρες διαδρομές μπορούν να σπάσουν ένα σχέδιο που την αγνοεί. Η τεκμηρίωση της πλατφόρμας αποφασίζει ποια από αυτά ισχύει.

Το ακριβές στάδιο όπου εφαρμόζονται πολιτική, επιλογείς και διαδρομές διαφέρει μεταξύ IPsec βασισμένου σε πολιτική, σηράγγων βασισμένων σε διαδρομές και άλλων προϊόντων. Σχεδιάστε για αυτό που εκτελείτε.

Μεταφέρετε το σχέδιο μέσα από την επικάλυψη

Σε έναν κόμβο, αναθέστε κάθε πρόθεμα ψευδωνύμου στη διαδρομή της τοποθεσίας που το κατέχει και επιτρέψτε μόνο τη διέλευση που χρειάζεται η εργασία. Σε ένα πλέγμα, κάθε σχετικός ομότιμος χρειάζεται το ίδιο πρόθεμα και γνώση πολιτικής. Η προσθήκη σηράγγων δεν διορθώνει από μόνη της την ασαφή διευθυνσιοδότηση.

Η δημοσίευση ολόκληρου του υποδικτύου είναι ευρύτερη από τη δημοσίευση μιας υπηρεσίας. Αν χρειάζονται μόνο λίγες μηχανές ή θύρες, κρατήστε τους κανόνες πρόσβασης στενότερους από την αντιστοίχιση.

Η μετάφραση κεφαλίδας δεν ξαναγράφει τα ωφέλιμα φορτία της εφαρμογής. Οι ανακατευθύνσεις, οι ενσωματωμένες διευθύνσεις σε αρχεία διαμόρφωσης και τα δικαιώματα βάσει πηγής μπορούν ακόμη να μεταφέρουν την εγγενή διεύθυνση. Δοκιμάστε τη διαδρομή της εφαρμογής, όχι μόνο το ping. Μια λειτουργική απάντηση ICMP αποδεικνύει ότι η αντιστοίχιση υπάρχει και δεν λέει τίποτα για το αν η εφαρμογή δέχεται το ψευδώνυμο.

Διορθώστε τα ονόματα που βλέπει κάθε καλών

Δώστε στα ονόματα συντήρησης απαντήσεις που ταιριάζουν με την προβολή του καλούντα. Αν ο απομακρυσμένος μηχανικός επιλύσει ένα όνομα κεντρικού υπολογιστή, θα πρέπει να επιστρέψει τη διεύθυνση ψευδωνύμου για εκείνη την τοποθεσία, όχι το κοινόχρηστο εγγενές εύρος.

Ελέγξτε τις προβολές DNS ανά τοποθεσία πριν από το πρώτο παράθυρο συντήρησης. Ένα όνομα που επιλύεται στο εγγενές υποδίκτυο στέλνει τον καλούντα πίσω στην ασάφεια που το σχέδιο έπρεπε να αφαιρέσει.

Καταγράψτε και επαληθεύστε ανά τοποθεσία

Δεχτείτε κάθε τοποθεσία χωριστά από έναν πραγματικό καλούντα και επιβεβαιώστε ποια μηχανή απάντησε. Καταγράψτε μαζί την εγγενή διεύθυνση, το ψευδώνυμο, την πύλη που το κατέχει και την επιτρεπόμενη υπηρεσία.

Αυτό το μητρώο είναι που διατηρεί τη διάκριση όταν φτάνει μια τρίτη τοποθεσία με το ίδιο προεπιλεγμένο LAN. Ο οδηγός IPsec NAT βασισμένου σε πολιτική τεκμηριώνει ένα συγκεκριμένο μοντέλο μετάφρασης· δεν είναι συμβόλαιο για κάθε πλατφόρμα.