Millal NAT saidi-taide VPN-i sees oma koha ära teenib

Kaks saiti kasutavad mõlemad sama privaatset vahemikku ja tunnel tõuseb, samal ajal kui mitte midagi kasulikku sellest läbi ei lähe. Tõlge on tavaline vastus ja see on tõeline: teise vahemiku esitamine kaugemale poolele võib lahendada kattuvuse või tagasitee, mida teine võrk ei suuda marsruutida. Vahele jäetav osa on see, et tõlge muudab aadresse, mida näeb iga hilisem otsus. Käsitlege seda dokumenteeritud disainiotsusena kirjaliku vastendusega, mitte reeglina, mida lisatakse seni, kuni ping õnnestub.

Otsustage, millist aadressi ümber kirjutatakse

Lähtetõlge muudab seda, mida kaugteenus ja selle logid näevad kliendina, nii et haru host muutub saabumisel lüüsi aadressiks. Sihtkoha või eesliite tõlge esitab seevastu kaugressursi jaoks alternatiivse aadressi. Mõned juurutused vajavad koordineeritud tõlget mõlemal pool, et eraldada kaks muidu identseid võrke, ja kombinatsioon on koht, kus enamik segadust algab.

Pange kirja lähtekoht enne tõlget, sihtkoht nii, nagu rakendus seda nimetab, ja aadressipaar, millega iga lüüs sobib. Kolm veergu on piisavad ja kolmas veerg on see, mille inimesed välja jätavad.

Ka selektorite järjekord on oluline. IPsec-poliitika valik ja tõlge toimuvad kindlaksmääratud etappides, nii et tõlgeeelsete aadresside jaoks kirjutatud selektor ei pruugi kunagi paketiga teie eeldatud etapil sobida. Kontrollige paigaldatud poliitikat, mitte poliitikat, mille kavatsesite paigaldada, sest need lahknevad täpselt siis, kui üks komponent aktsepteerib reegli ja teine eirab seda:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Jälgige kasulikku koormust ja tagasiteed

Server, mis logib tõlgitud lähteallika üksiku haru hosti asemel, rikub iga reegli või aruande, mis on seotud algse aadressiga. Enne vastenduse muutmist uurige, kas midagi allavoolu teeb selle välja põhjal otsuse: juurdepääsuloendid, auditiaruanded, kiiruspiirangud, litsentsikontrollid. Igaüks neist on koht, kus tõlge hiljem ilmneb seletamatu tõrkena.

Protokollid, mis kannavad aadresse oma kasulikus koormuses, vajavad eraldi planeerimist, sest välise päise ümberkirjutamine ei puuduta sisemist viidet. Aktiivne FTP, SIP ja mõned kaugjuurdepääsutooted on klassikalised juhtumid ning disain, mis neid eirab, töötab veebiliikluse jaoks ja ebaõnnestub rakenduse jaoks, millel oli tähtsust.

Tagasiliiklus sõltub olekuga vastendustest. Lüüsi ümberlülitus võib selle oleku kaotada, asümmeetriline marsruutimine võib sellest mööda minna ja taaskäivitus võib selle kustutada, samal ajal kui seansid jäävad kaugemale poolele avatuks. Seetõttu on sihtkohta jõudev taotlus ja lõpuleviidud seanss kaks erinevat vastuvõtutulemust.

Kaaluge seda saidi ümbernummerdamise vastu

Ühe vastuolulise saidi ümbernummerdamine eemaldab vastenduse täielikult ja jätab aadressiplaani, mida saab lugeda ilma tõlketabeliteta. See on operatiivselt kallis: DNS-kirjed, staatilised määramised, tulemüürireeglid ja iga dokumenteeritud aadress peavad muutuma koos. Kulu langeb üks kord, planeeritud aknas, selge lõppolekuga. See, mida te ostate, on võime lugeda paketipüüdmist aastaid hiljem ilma otsingutabelita.

Tõlge väldib enamikku kohalikke muudatusi ja loob vastenduse, mida tuleb igavesti hooldada DNS-is, dokumentatsioonis ja tõrkeotsingus. Kulu langeb pidevalt iga tulevase inseneri näol, kes peab õppima, et üks eesliide tähendab tunnelis midagi muud.

Ajutise ühenduse või partneri võrgu jaoks, mida te ei kontrolli, tasub pidev kulu tavaliselt ära. Kahe saidi jaoks, mis on teie omanduses ja jäävad aastateks, on ümbernummerdamine sageli odavam otsus, kui migratsiooni ausalt arvestada.

Tõestage mõlemat suunda tõelise seansiga

Testige rakenduse seanssi, mitte üksikut sondi. Edukas kajataotlus tõestab, et üks protokolli suund töötab, ja see on täielikult ühilduv tagasiteega, mis ebaõnnestub kõige olekuga. Kasutage teenust, mis disaini ajendas, ja lugege selle logi kaugemas otsas, et näha, millise lähteaadressi see salvestas.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Seejärel kinnitage, et vastenduse kaudu on kättesaadavad ainult kavandatud teenused. Tõlge muudab adresseerimist ega tee autoriseerimise jaoks midagi, seega otsustab tulemüüri poliitika endiselt, mis on lubatud. Disain, mis toetub oma juurdepääsukontrollina hägusele tõlgitud eesliitele, ei oma üldse juurdepääsukontrolli.

Salvestage vastendus, testitud seanss ja aadressid, mida kumbki pool jälgis. Järgmisel inimesel, kes seda tunnelit silub, on neid kolme fakti rohkem vaja kui konfiguratsioonifaili.