Du ejoj, unu subreto: konstruu alinoman vidon por ĉiu
Kiam du ejoj uzas la saman LAN, donu al ĉiu alinoman prefikson kaj traduku en ambaŭ direktojn. Kontrolu koliziojn, supertavolan politikon, DNS-nomojn kaj la rikordon.
Du klientaj ejoj ambaŭ uzas 192.168.50.0/24, kaj fora inĝeniero devas atingi printilon ĉe la sama adreso en ĉiu. Neniu enkursiga artifiko solvas tiun ambiguecon per si mem. Ĉiu ejo bezonas apartan adresvidon, kaj la enirejo devas elekti la ejon el tiu vido antaŭ ol ĝi plusendos ion ajn.
La plano havas kvar partojn: alinoman prefiksojn, ambaŭ tradukdirektojn, supertavolan politikon kaj nomojn. Ĉiu devas akordi kun la aliaj.
Elektu unu alinoman prefikson por ĉiu ejo
Asignu al ĉiu ejo tutan alinoman prefikson, kiu apartenas al neniu alia en la medio. Plano por du ejoj povus mapi 192.168.50.0/24 de ejo A al 172.21.10.0/24 kaj la identan LAN de ejo B al 172.21.20.0/24. Kontrolu la kandidatojn kontraŭ ĉiu partoprenanta reto, inkluzive de nubaj VPC-oj kaj aliaj VPN-pooloj. Privata adresspaco estas dividata de ĉiu organizo, do tio, ke gamo estas RFC 1918, diras nenion pri tio, ke ĝi estas libera ĉi tie.
Publikigu la alinomon, ne la indiĝenan subreton, al foraj uzantoj. La indiĝena gamo restas loka fakto.
Traduku en ambaŭ direktojn
Traduku en ambaŭ direktojn. Celdestina mapado reskribas alinoman adreson en la indiĝenan adreson ĉe la posedanta ejo. Fontmapado reskribas la foran alvokanton en alinomon, kiun aliaj ejoj povas distingi.
Statika unu-al-unu mapado estas determinisma, kaj tio ne faras la efektivigon senstata. Inversa tradukado povas dependi de kuniga stato, kaj malsukcesa transiro aŭ nesimetriaj vojoj povas rompi planon, kiu ignoras tion. La dokumentaro de la platformo decidas, kiu el tiuj validas.
La preciza stadio, en kiu politiko, selektiloj kaj vojoj aplikiĝas, diferencas inter politik-bazita IPsec, voj-bazitaj tuneloj kaj aliaj produktoj. Projektu por tiu, kiun vi funkciigas.
Portu la planon tra la supertavolo
En hubo asignu ĉiun alinoman prefikson al la eja vojo, kiu posedas ĝin, kaj permesu nur la trairon, kiun la tasko bezonas. En maŝo ĉiu koncerna samtavolano bezonas la saman prefikson kaj politik-sciojn. Aldoni tunelojn ne riparas ambiguan adresadon per si mem.
Publikigo de la tuta subreto estas pli larĝa ol publikigo de unu servo. Se nur kelkaj maŝinoj aŭ pordoj estas bezonataj, tenu la alirregulojn pli mallarĝaj ol la mapado.
Kaplinialtraduko ne reskribas aplikaĵajn utilecojn. Alidirektadoj, enigitaj adresoj en agordaj dosieroj kaj font-bazitaj permesoj ĉiuj ankoraŭ povas porti la indiĝenan adreson. Testu la aplikaĵan vojon, ne nur la pingon. Funkcianta ICMP-respondo pruvas, ke la mapado ekzistas, kaj diras nenion pri tio, ĉu la aplikaĵo akceptas la alinomon.
Riparu la nomojn, kiujn ĉiu alvokanto vidas
Donu al flegaj nomoj respondojn, kiuj kongruas kun la vido de la alvokanto. Se la fora inĝeniero solvas hostnomon, ĝi resendu la alinoman adreson por tiu ejo, ne la komunan indiĝenan gamon.
Kontrolu DNS-vidojn por ĉiu ejo antaŭ la unua flegstrategio. Nomo, kiu solviĝas al la indiĝena subreto, resendas la alvokanton al la ambigueco, kiun la plano devis forigi.
Rikordu kaj kontrolu por ĉiu ejo
Akceptu ĉiun ejon aparte de reala alvokanto kaj konfirmu, kiu maŝino respondis. Rikordu kune la indiĝenan adreson, la alinomon, la posedantan enirejon kaj la permesitan servon.
Tiu inventaro estas tio, kio konservas la distingon, kiam tria ejo alvenas kun la sama defaŭlta LAN. La politik-bazita IPsec NAT-gvidilo dokumentas unu konkretan traduk-modelon; ĝi ne estas kontrakto por ĉiu platformo.