Sama alamvõrk mõlemas otsas: kaardista kaug-LAN vabale vahemikule

Kodu ja kontor kasutavad mõlemad 192.168.1.0/24, seega on päringul aadressile 192.168.1.1 kaks võimalikku vastust ja klient valib ühe küsimata. Töötava kontorivõrgu ümbernummerdamine on harva populaarne ning ruuteri aadressid on sageli printeritesse, kaameratesse ja dokumentatsiooni sisse kirjutatud. Kliendipoolne aadresside kaardistamine võib selle asemel esitada kaugvõrgu vaba vahemiku all ning hostiosa võib jääda samaks, nii et 192.168.1.20 paistab kui 10.203.41.20. Konks on selles, et seda rakendavad ainult mõned kliendid ja see ei tee tagasitee jaoks midagi.

Kaks vaadet samale hostile

Kaardistamine hoiab hostiosa ja muudab ainult võrguosa. Sama masin vastab siis kahel aadressil sõltuvalt sellest, kus te seisate. Mõlema veeru üleskirjutamine enne millegi seadistamist hoiab ära hilisema logide ja tulemüürireeglite vale lugemise.

Kodus olevad kohalikud seadmed säilitavad oma 192.168.1.x aadressid ja see ongi harjutuse mõte. Kõrvaltoas olev printer jääb kättesaadavaks, samal ajal kui kontor paistab vahemikus, mis ei kattu.

Argumentide järjekord on kogu trikk

Valik võtab suuna, võrgu ja maski ning aliase: esimene võrk on see, mida klient näeb, alias on see, mida server näeb. Kaugvärava taga olevate ressursside puhul on suunaks sihtkoha vorm. Kahe võrgu ümberpööramine seetõttu, et viimast argumenti nimetatakse aliaseks, on viga, mis loob tunneli, mis ühendub ja ei kaardista midagi.

push "route 10.203.41.0 255.255.255.0"
push "client-nat dnat 10.203.41.0 255.255.255.0 192.168.1.0"

Marsruut on see, mis saadab kliendi paketid uue vahemiku jaoks tunnelisse; tõlge kirjutab sihtkoha teel ümber. Vastus aadressilt 192.168.1.20 kirjutatakse tagasi aadressile 10.203.41.20, et kliendi socket püsiks ühtlane. Üksik host töötab samamoodi täispika maskiga, kui ainult marsruut ja kaardistamine kirjeldavad sama aadressi.

See on aadresside kaardistamine, mitte portide kaardistamine. Kahte teenust ühes hostis ei saa sellega eraldada ning protokoll, mis põimib IP-aadressid oma kasulikku koormusse, näeb ikkagi päris aadresse.

Kaardistamine ei loo tagasiteed

Tõlge toimub kliendis, seega peab server ikkagi vastused tunnelisse suunama ja selle tulemüür peab need ikkagi lubama. Kui kaugvärav ei tea, kuidas tunneli alamvõrku jõuda, saabub päring ja vastus lahkub vale ukse kaudu; kaardistamine teeb ainult selle, et tõrge näeks välja nagu kliendi probleem.

Serveripoolsed reeglid peaksid kirjeldama aadresse, mis on serveris pärast tõlget olemas, mitte kliendile nähtavat vahemikku. Aliase kopeerimine lubamisreeglisse raiskab pärastlõuna, sest ükski pakett sellel poolel ei kanna seda.

Valige aliasvahemik, mis ei kattu millegi muuga, mida klient marsruudib: teine VPN, konteinerivõrk, teine kontor. Kokkupõrge siin toob algse mitmetähenduslikkuse tagasi teise numbri all ja seda on raskem näha, sest aadressid tunduvad võõrad.

Nimed ja kasulik koormus jäävad tõlkest alles

Hostinimi, mis lahendub päris 192.168.1.20-le, saadab brauseri kohalikku seadmesse, mitte kaugseadmesse, ükskõik mida marsruutimistabel ütleb. Privaatse DNS-i vastus peab osutama kliendile nähtavale vahemikule, samal ajal kui TLS-sertifikaat kannab endiselt nime, mida rakendus ootab. Testige nimega, mitte aadressiga, sest aadress võib töötada, samal ajal kui nimi vaikselt valesse suunda lahendub. Kui kaugvärav teenindab ka seda tsooni, vajavad ka selle enda kirjed kliendile nähtavat vahemikku.

Ümbersuunamised, manustatud URL-id ja rakendused, mis annavad oma aadressi kasulikus koormuses, võivad katki minna viisil, mida ükski paketikaardistus ei paranda. Käsitlege neid rakenduse probleemina ja hinnake pingutust vastavalt enne, kui lubate, et ümbernummerdamine pole vajalik.

Kolm kontrolli enne kohustumist

Esiteks kinnitage kliendi rakendus. Community OpenVPN toetab seda valikut; OpenVPN 3 koodibaas loetleb selle toetamata funktsioonide hulgas, seega Connect-stiilis kliendile lükatud profiil võib selle lihtsalt ignoreerida. Direktiiv, mis võetakse vastu ja mida kunagi ei rakendata, on hullem kui viga, sest tunnel näeb terve välja.

Teiseks kontrollige marsruuti ja tõlget eraldi lühikese diagnostikaakna abil kõrge detailsusega ning seejärel testige tegelikku teenust, mitte pingi. Kolmandaks kinnitage, et kohalik ruuter ja kaugressurss jäävad kliendist eristatavaks, sest see oli algne eesmärk.

Kui klient ei suuda tõlget teha, küsige abi värava poolelt või leppige ümbernummerdamisega. Rohkemate marsruutide lisamine samale aadressile ei ole disain.