Milloin NAT sivustojen välisen VPN:n sisällä ansaitsee paikkansa

Kaksi toimipaikkaa käyttävät molemmat samaa yksityistä aluetta, ja tunneli nousee, kun mikään hyödyllinen ei kulje sen läpi. Käännös on tavallinen vastaus ja se on todellinen: eri alueen esittäminen kaukokohdalle voi ratkaista päällekkäisyyden tai paluupolun, jota toinen verkko ei voi reitittää. Ohitettu osa on se, että käännös muuttaa osoitteita, jotka jokainen myöhempi päätös näkee. Kohtele sitä dokumentoituna suunnittelupäätöksenä, jossa on kirjallinen kartoitus, älä sääntönä, jota lisätään kunnes ping onnistuu.

Päätä, mikä osoite kirjoitetaan uudelleen

Lähdekäännös muuttaa sitä, mitä etäpalvelu ja sen lokit näkevät asiakkaana, joten sivuliikkeen isäntä muuttuu saapuessaan yhdyskäytävän osoitteeksi. Kohde- tai etuliitekäännös esittää sen sijaan vaihtoehtoisen osoitteen etäresurssille. Jotkin käyttöönotot tarvitsevat koordinoidun käännöksen molemmilla puolilla erottaakseen kaksi muuten identtistä verkkoa, ja yhdistelmässä suurin osa sekaannuksesta alkaa.

Kirjoita lähde ennen käännöstä, kohde niin kuin sovellus sen nimeää, ja osoitepari, johon kukin yhdyskäytävä täsmää. Kolme saraketta riittää, ja kolmas sarake on se, jonka ihmiset jättävät pois.

Myös valitsimien järjestyksellä on väliä. IPsec-käytännön valinta ja käännös tapahtuvat määritellyissä vaiheissa, joten ennen käännöstä oleville osoitteille kirjoitettu valitsin ei ehkä koskaan täsmää pakettiin vaiheessa, jonka oletit. Tarkista asennettu käytäntö sen sijaan, että tarkistaisit käytännön, jonka aioit asentaa, koska ne eroavat juuri silloin, kun yksi komponentti hyväksyy säännön ja toinen jättää sen huomiotta:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Seuraa hyötykuormaa ja paluupolkua

Palvelin, joka kirjaa käännöksen lähteen yksittäisen sivuliikkeen isännän sijaan, rikkoo jokaisen alkuperäiseen osoitteeseen sidotun säännön tai raportin. Ennen kuin muutat kartoitusta, selvitä, tekeekö jokin alavirrassa päätöksen siitä kentästä: käyttöluettelot, auditointiraportit, nopeusrajoitukset, lisenssitarkistukset. Jokainen näistä on paikka, jossa käännös myöhemmin paljastuu selittämättömänä vikana.

Protokollat, jotka kuljettavat osoitteita hyötykuormansa sisällä, tarvitsevat erillisen suunnittelun, koska ulomman otsikon uudelleenkirjoitus ei kosketa sisäistä viittausta. Aktiivinen FTP, SIP ja jotkin etäkäyttötuotteet ovat klassisia tapauksia, ja suunnittelu, joka jättää ne huomiotta, toimii verkkoliikenteelle ja epäonnistuu sovellukselle, jolla oli merkitystä.

Paluuliikenne riippuu tilallisista kartoituksista. Yhdyskäytävän vikasieto voi menettää tilan, epäsymmetrinen reititys voi ohittaa sen, ja uudelleenkäynnistys voi tyhjentää sen, kun istunnot pysyvät avoinna kaukopäässä. Siksi pyyntö, joka saavuttaa kohteen, ja istunto, joka valmistuu, ovat kaksi eri hyväksymistulosta.

Punnitse sitä toimipaikan uudelleennumeroinnin kanssa

Yhden ristiriitaisen toimipaikan uudelleennumerointi poistaa kartoituksen kokonaan ja jättää osoitesuunnitelman, joka voidaan lukea ilman käännöstaulukoita. Se on operatiivisesti kallista: DNS-tietueet, staattiset määritykset, palomuurisäännöt ja jokainen dokumentoitu osoite on muutettava yhdessä. Kustannus tulee kerran, suunnitellussa ikkunassa, selkeällä lopputilalla. Se, mitä ostat, on kyky lukea pakettikaappaus vuosia myöhemmin ilman hakutaulukkoa.

Käännös välttää useimmat paikalliset muutokset ja luo kartoituksen, jota on ylläpidettävä DNS:ssä, dokumentaatiossa ja vianetsinnässä ikuisesti. Kustannus tulee jatkuvasti jokaisen tulevan insinöörin muodossa, jonka on opittava, että yksi etuliite tarkoittaa tunnelin sisällä jotain muuta.

Tilapäisen yhteyden tai kumppaniverkon kohdalla, jota et hallitse, jatkuva kustannus on yleensä maksamisen arvoinen. Kahden toimipaikan kohdalla, jotka omistat ja tulet omistamaan vuosia, uudelleennumerointi on usein halvempi päätös, kun muutto lasketaan rehellisesti.

Todista molemmat suunnat oikealla istunnolla

Testaa sovellusistuntoa yksittäisen luotaimen sijaan. Onnistunut kaikupyyntö todistaa, että yhden protokollan yksi suunta toimii, ja se on täysin yhteensopiva paluupolun kanssa, joka epäonnistuu kaikelle tilalliselle. Käytä palvelua, joka motivoi suunnittelun, ja lue sen loki kaukopäässä nähdäksesi, minkä lähdeosoitteen se tallensi.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Vahvista sitten, että vain aiotut palvelut ovat saavutettavissa kartoituksen kautta. Käännös muuttaa osoitteistoa eikä tee mitään valtuutukselle, joten palomuurikäytäntö päättää edelleen, mikä on sallittua. Suunnittelu, joka luottaa epäselvään käännettyyn etuliitteeseen pääsynvalvontanaan, ei sisällä lainkaan pääsynvalvontaa.

Kirjaa kartoitus, testattu istunto ja osoitteet, jotka kumpikin puoli havaitsi. Seuraava tätä tunnelia debuggaava henkilö tarvitsee noita kolmea tosiasiaa enemmän kuin asetustiedostoa.