Kiam NAT ene de loko-al-loka VPN meritas sian lokon

Du lokoj ambaŭ uzas la saman privatan gamon, kaj la tunelo leviĝas dum nenio utila trapasas ĝin. Tradukado estas la kutima respondo, kaj ĝi estas reala: prezenti alian gamon al la malproksima flanko povas solvi koincidon aŭ revenan vojon, kiun la alia reto ne povas enkursigi. La parto, kiu estas preterlasata, estas ke tradukado ŝanĝas la adresojn, kiujn ĉiu posta decido vidas. Traktu ĝin kiel dokumentitan dezajnan decidon kun skribita mapado, ne kiel regulon aldonatan ĝis ping sukcesos.

Decidu, kiu adreso estas reskribata

Fonta tradukado ŝanĝas tion, kion la malproksima servo kaj ĝiaj protokoloj vidas kiel klienton, do filia gastiganto iĝas pordega adreso alveninte. Celdestina aŭ prefiksa tradukado anstataŭe prezentas alternativan adreson por malproksima rimedo. Iuj deplojoj bezonas kunordigitan tradukadon ambaŭflanke por apartigi du alie identajn retojn, kaj la kombinaĵo estas kie plej multa konfuzo komenciĝas.

Skribu la fonton antaŭ tradukado, la celon kiel la aplikaĵo nomas ĝin, kaj la adresparon, kiun ĉiu pordego kongruas. Tri kolumnoj sufiĉas, kaj la tria kolumno estas tiu, kiun homoj preterlasas.

Ankaŭ la ordo de selektiloj gravas. Elekto kaj tradukado de IPsec-politiko okazas en difinitaj etapoj, do selektilo skribita por adresoj antaŭ tradukado eble neniam kongruos la paketon en la etapo, kiun vi supozis. Kontrolu la politikon, kiu estas instalita, anstataŭ la politikon, kiun vi intencis instali, ĉar la du malkongruas ĝuste kiam regulon akceptas unu komponanto kaj ignoras alia:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Sekvu la utilan ŝarĝon kaj la revenan vojon

Servilo, kiu registras la tradukitan fonton anstataŭ la individuan filian gastiganton, rompos ĉiun regulon aŭ raporton ligitan al la originala adreso. Antaŭ ol vi ŝanĝos la mapadon, eltrovu ĉu io malsupre faras decidon laŭ tiu kampo: alirlistoj, reviziaj raportoj, rapidolimoj, licenckontroloj. Ĉiu el tiuj estas loko, kie la tradukado poste aperas kiel neklarigebla fiasko.

Protokoloj, kiuj portas adresojn ene de sia utila ŝarĝo, bezonas apartan planadon, ĉar reskribi la eksteran kaplinion ne tuŝas la internan referencon. Aktiva FTP, SIP kaj iuj malproksim-aliraj produktoj estas la klasikaj kazoj, kaj dezajno, kiu ignoras ilin, funkcios por reta trafiko kaj fiaskos por la aplikaĵo, kiu gravis.

Revena trafiko dependas de mapadoj kun stato. Pordega malsukceso povas perdi tiun staton, nesimetria enkursigado povas eviti ĝin, kaj restarto povas forviŝi ĝin dum sesioj restas malfermitaj ĉe la malproksima flanko. Tial peto, kiu atingas la celon, kaj sesio, kiu kompletiĝas, estas du malsamaj akceptrezultoj.

Pesu ĝin kontraŭ renumerado de loko

Renumerado de unu konflikta loko tute forigas la mapadon kaj lasas adresplanon, kiun oni povas legi sen traduktabeloj. Ĝi estas operacie multekosta: DNS-rikordoj, statikaj atribuoj, fajroŝirmilaj reguloj kaj ĉiu dokumentita adreso devas ŝanĝiĝi kune. La kosto falas unufoje, en planita fenestro, kun klara fina stato. Tion, kion vi aĉetas, estas la kapablo legi paketkaptaĵon jarojn poste sen serĉtabelo.

Tradukado evitas plej multajn lokajn ŝanĝojn kaj kreas mapadon, kiun oni devas prizorgi en DNS, dokumentado kaj problemtraktado porĉiame. La kosto falas kontinue, en la formo de ĉiu estonta inĝeniero, kiu devas lerni, ke unu prefikso signifas ion alian ene de la tunelo.

Por provizora konekto aŭ partnersa reto, kiun vi ne kontrolas, la kontinua kosto kutime indas. Por du lokoj, kiujn vi posedas kaj posedos jarojn, renumerado ofte estas la pli malmultekosta decido, kiam la migrado estas honeste kalkulita.

Pruvu ambaŭ direktojn per reala sesio

Testu aplikaĵan sesion anstataŭ unuopa sondilo. Sukcesa eĥopeto pruvas, ke unu direkto de unu protokolo funkcias, kaj ĝi estas tute kongrua kun revena vojo, kiu fiaskas por io ajn kun stato. Uzu la servon, kiu motivis la dezajnon, kaj legu ĝian protokolon ĉe la malproksima fino por vidi, kiun fontan adreson ĝi registris.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Poste konfirmu, ke nur la celitaj servoj estas atingeblaj tra la mapado. Tradukado ŝanĝas adresadon kaj faras nenion pri rajtigo, do fajroŝirmila politiko ankoraŭ decidas, kio estas permesita. Dezajno, kiu fidas obskuran tradukitan prefikson kiel sian alirkontrolon, havas tute neniun alirkontrolon.

Registru la mapadon, la testitan sesion kaj la adresojn, kiujn ĉiu flanko observis. La sekva persono, kiu sencimigos ĉi tiun tunelon, bezonas tiujn tri faktojn pli ol la agordan dosieron.