Noiz merezi duen NAT-ek gunez guneko VPN baten barruan

Bi gunek barruti pribatu bera erabiltzen dute, eta tunela altxatzen da, baina ez da ezer erabilgarririk zeharkatzen. Itzulpena ohiko erantzuna da, eta benetako erantzuna da: urruneko aldeari beste barruti bat aurkezteak gainjartze bat edo beste sareak bideratu ezin duen itzulera-bide bat konpondu dezake. Saltzen den zatia da itzulpenak ondorengo erabaki bakoitzak ikusten dituen helbideak aldatzen dituela. Trata ezazu mapaketa idatzia duen diseinu-erabaki dokumentatu gisa, ping batek arrakasta lortu arte gehitzen den arau gisa baino.

Erabaki zein helbide berridazten den

Iturburuaren itzulpenak urruneko zerbitzuak eta haren erregistroek bezero gisa ikusten dutena aldatzen du, beraz sukurtsaleko ostalari bat sarrerako atearen helbide bihurtzen da iristean. Helburuaren edo aurrizkiaren itzulpenak, ordea, urruneko baliabide baten ordezko helbidea aurkezten du. Hedapen batzuek bi aldeetan koordinatutako itzulpena behar dute bestela berdinak diren bi sare bereizteko, eta konbinazioan hasten da nahasmen gehiena.

Idatz ezazu iturburua itzulpenaren aurretik, helburua aplikazioak deitzen duen moduan, eta atari bakoitzak bat datorren helbide-parea. Hiru zutabe nahikoa dira, eta hirugarren zutabea jendeak uzten duena da.

Hautatzaileen ordena ere garrantzitsua da. IPsec politikaren hautaketa eta itzulpena etapa jakinetan gertatzen dira, beraz itzulpenaren aurreko helbideetarako idatzitako hautatzaile bat baliteke inoiz ez etortzea bat suposatu duzun etapako paketearekin. Egiaztatu instalatuta dagoen politika, instalatzeko asmoa zenuen politikaren ordez, biak desberdin egiten baitira osagai batek araua onartu eta beste batek baztertzen duenean:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Jarraitu karga erabilgarria eta itzulera-bidea

Itzulitako iturburua sukurtsaleko ostalari indibidualaren ordez erregistratzen duen zerbitzari batek jatorrizko helbideari lotutako edozein arau edo txosten hautsiko du. Mapaketa aldatu aurretik, jakin ezazu beherago zerbait erabaki bat hartzen duen eremu horretatik: sarbide-zerrendak, auditoria-txostenak, abiadura-mugak, lizentzia-egiaztapenak. Horietako bakoitza itzulpena geroago azaldu gabeko hutsegite gisa agertzen den tokia da.

Beren karga erabilgarriaren barruan helbideak daramatzaten protokoloek plangintza bereizia behar dute, kanpoko goiburua berridazteak ez baitie ukitzen barneko erreferentziari. FTP aktiboa, SIP eta urruneko sarbideko produktu batzuk kasu klasikoak dira, eta horiek baztertzen dituen diseinu batek web-trafikorako funtzionatuko du eta garrantzitsua zen aplikaziorako huts egingo du.

Itzulera-trafikoa egoera duten mapaketen mende dago. Atariaren hutsegite-trantsizioak egoera hori gal dezake, bideratze asimetrikoak saihets dezake, eta berrabiarazte batek garbi dezake urruneko aldean saioak irekita jarraitzen duten bitartean. Horregatik helmugara iristen den eskaera bat eta osatzen den saio bat bi onarpen-emaitza desberdin dira.

Pisatu gune bat berriz zenbakatzearen aurka

Talka egiten duen gune bat berriz zenbakatzeak mapaketa erabat kentzen du eta itzulpen-taulak gabe irakur daitekeen helbide-plana uzten du. Operatiboki garestia da: DNS erregistroek, esleipen estatikoek, suebakiko arauek eta dokumentatutako helbide bakoitzak batera aldatu behar dute. Kostua behin ateratzen da, planifikatutako leiho batean, amaiera-egoera argiarekin. Erosten duzuna pakete-kaptura bat urteak geroago bilaketa-taula bat gabe irakurtzeko gaitasuna da.

Itzulpenak tokiko aldaketa gehienak saihesten ditu eta DNSn, dokumentazioan eta arazoen konponketan betiko mantendu behar den mapaketa bat sortzen du. Kostua etengabe ateratzen da, tunelaren barruan aurrizki batek beste zerbait esan nahi duela ikasi behar duen etorkizuneko ingeniari bakoitzaren forman.

Kontrolatzen ez duzun aldi baterako konexio edo bazkide-sare batentzat, etengabeko kostua normalean merezi du. Zuk duzun eta urteetan edukiko duzun bi gunerentzat, berriz zenbakatzea erabaki merkeagoa izan ohi da migrazioa zintzotasunez zenbatuta.

Froga itzazu bi noranzkoak saio erreal batekin

Proba ezazu aplikazio-saio bat, zunda bakar bat baino. Oihartzun-eskaera arrakastatsu batek protokolo baten noranzko bat funtzionatzen duela frogatzen du, eta guztiz bateragarria da egoera duen edozertarako huts egiten duen itzulera-bide batekin. Erabili diseinua bultzatu zuen zerbitzua, eta irakurri haren erregistroa urruneko muturrean zein iturburu-helbide erregistratu zuen ikusteko.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Ondoren egiaztatu mapaketaren bidez aurreikusitako zerbitzuak soilik direla irisgarri. Itzulpenak helbideratzea aldatzen du eta ez du ezer egiten baimenarentzat, beraz suebakiaren politikak erabakitzen du oraindik zer den baimenduta. Itzulitako aurrizki ilun batean sarbide-kontrol gisa oinarritzen den diseinu batek ez du sarbide-kontrolik batere.

Erregistra itzazu mapaketa, probatutako saioa eta alde bakoitzak behatutako helbideak. Tunel hau araztuko duen hurrengo pertsonak hiru datu horiek behar ditu konfigurazio-fitxategia baino gehiago.