Sama aliverkko molemmissa päissä: kartoita etä-LAN vapaaseen alueeseen

Koti ja toimisto käyttävät molemmat 192.168.1.0/24:ää, joten osoitteeseen 192.168.1.1 kohdistuvalla pyynnöllä on kaksi mahdollista vastausta ja asiakas valitsee yhden kysymättä. Toimivan toimistoverkon uudelleennumerointi on harvoin suosittua, ja reitittimen osoitteet on usein upotettu tulostimiin, kameroihin ja dokumentaatioon. Asiakaspuolen osoitekartoitus voi sen sijaan esittää etäverkon vapaana alueena, ja isäntäosa voi pysyä samana, jolloin 192.168.1.20 näkyy osoitteena 10.203.41.20. Kompastuskivi on, että vain jotkut asiakkaat toteuttavat sen, eikä se tee paluupolulle mitään.

Kaksi näkymää samaan isäntään

Kartoitus säilyttää isäntäosan ja muuttaa vain verkko-osan. Sama kone vastaa silloin kahdessa osoitteessa riippuen siitä, missä seisot. Molempien sarakkeiden kirjoittaminen ylös ennen minkään määrittämistä estää myöhemmän lokien ja palomuurisääntöjen väärinluvun.

Kodin paikalliset laitteet pitävät omat 192.168.1.x-osoitteensa, ja se on koko harjoituksen pointti. Viereisen huoneen tulostin pysyy tavoitettavana, kun toimisto näkyy alueena, joka ei törmää.

Argumenttien järjestys on koko temppu

Valinta ottaa suunnan, verkon ja maskin sekä aliaksen: ensimmäinen verkko on se, mitä asiakas näkee, alias on se, mitä palvelin näkee. Etäyhdyskäytävän takana oleville resursseille suunta on kohdemuoto. Kahden verkon kääntäminen siksi, että viimeistä argumenttia kutsutaan aliakseksi, on virhe, joka tuottaa tunnelin, joka yhdistyy eikä kartoita mitään.

push "route 10.203.41.0 255.255.255.0"
push "client-nat dnat 10.203.41.0 255.255.255.0 192.168.1.0"

Reitti on se, joka lähettää asiakkaan paketit uudelle alueelle tunneliin; käännös kirjoittaa kohteen uudelleen matkalla. Vastaus osoitteesta 192.168.1.20 kirjoitetaan takaisin osoitteeseen 10.203.41.20, jotta asiakkaan socket pysyy yhtenäisenä. Yksittäinen isäntä toimii samoin täyspitkällä maskilla, kunhan reitti ja kartoitus kuvaavat samaa osoitetta.

Tämä on osoitekartoitusta, ei porttikartoitusta. Kahta palvelua yhdessä isännässä ei voi erottaa sillä, ja protokolla, joka upottaa IP-osoitteet hyötykuormaansa, näkee silti oikeat.

Kartoitus ei luo paluupolkua

Käännös tapahtuu asiakkaassa, joten palvelimen on edelleen reititettävä vastaukset tunneliin ja sen palomuurin on edelleen sallittava ne. Jos etäyhdyskäytävä ei tiedä, miten tunnelin aliverkkoon päästään, pyyntö saapuu ja vastaus lähtee väärästä ovesta; kartoitus vain saa vian näyttämään asiakkaan ongelmalta.

Palvelinpuolen sääntöjen tulisi kuvata osoitteet, jotka palvelimella on käännöksen jälkeen, ei asiakkaalle näkyvää aluetta. Aliaksen kopioiminen sallintasääntöön tuhlaa iltapäivän, koska mikään paketti sillä puolella ei kanna sitä.

Valitse alias-alue, joka ei törmää mihinkään muuhun, mitä asiakas reitittää: toinen VPN, konttiverkko, toinen toimisto. Törmäys tässä tuo alkuperäisen epäselvyyden takaisin eri numeron alle ja on vaikeampaa nähdä, koska osoitteet näyttävät vierailta.

Nimet ja hyötykuormat selviävät käännöksestä

Isäntänimi, joka ratkeaa oikeaan 192.168.1.20:een, lähettää selaimen paikalliseen laitteeseen etälaitteen sijaan, mitä reititystaulu sanoo tahansa. Yksityisen DNS:n vastauksen on osoitettava asiakkaalle näkyvään alueeseen, kun taas TLS-varmenteessa on edelleen nimi, jota sovellus odottaa. Testaa nimellä äläkä osoitteella, koska osoite voi toimia, kun nimi ratkeaa hiljaa väärään suuntaan. Kun etäyhdyskäytävä palvelee myös sitä vyöhykettä, myös sen omat tietueet tarvitsevat asiakkaalle näkyvän alueen.

Uudelleenohjaukset, upotetut URL-osoitteet ja sovellukset, jotka antavat oman osoitteensa hyötykuormassa, voivat rikkoutua tavoilla, joita mikään pakettikartoitus ei korjaa. Käsittele niitä sovellusongelmana ja mitoita vaiva sen mukaisesti ennen kuin lupaat, että uudelleennumerointi on tarpeetonta.

Kolme tarkistusta ennen sitoutumista

Ensinnäkin, vahvista asiakastoteutus. Community OpenVPN tukee tätä valintaa; OpenVPN 3:n koodikanta listaa sen tukemattomien ominaisuuksien joukkoon, joten Connect-tyyliselle asiakkaalle työnnetty profiili voi yksinkertaisesti jättää sen huomiotta. Direktiivi, joka hyväksytään eikä koskaan toteudu, on pahempi kuin virhe, koska tunneli näyttää terveeltä.

Toiseksi, tarkista reitti ja käännös erikseen lyhyellä diagnostiikkaikkunalla korkealla yksityiskohtaisuudella ja testaa sitten varsinainen palvelu pingin sijaan. Kolmanneksi, vahvista, että paikallinen reititin ja etäresurssi pysyvät erotettavissa asiakkaasta, koska se oli alkuperäinen tavoite.

Jos asiakas ei pysty käännökseen, pyydä apua yhdyskäytävän puolelta tai hyväksy uudelleennumerointi. Lisäreittien lisääminen samalle osoitteelle ei ole suunnittelu.