Wannear’t NAT yn in site-nei-site-VPN syn plak fertsjinnet

Twa sites brûke beide deselde privee berik, en de tunnel komt omheech wylst neat nuttich him oerstekt. Oersetting is it gewoane antwurd, en it is in echt antwurd: it presintearjen fan in oar berik oan ’e fiere kant kin in oerlaap of in werompaad oplosse dat it oare netwurk net routearje kin. It diel dat oerslein wurdt, is dat oersetting de adressen feroaret dy’t elke lettere beslissing sjocht. Behannelje it as in dokumintearre ûntwerpbeslissing mei in skreaune mapping, net as in regel dy’t tafoege wurdt oant in ping slagget.

Beslis hokker adres oerskreaun wurdt

Boarne-oersetting feroaret wat de fiere tsjinst en syn logs as klant sjogge, sadat in filiaalhost by oankomst in gateway-adres wurdt. Bestimming- of foarheaksel-oersetting presintearret ynstee in alternatyf adres foar in fier boarne. Guon deploaien hawwe koördinearre oersetting oan beide kanten nedich om twa oars identike netwurken te skieden, en de kombinaasje is wêr’t de measte betizing begjint.

Skriuw de boarne foar oersetting op, de bestimming sa’t de applikaasje it neamt, en it adrespear dêr’t elk gateway op oerienkomt. Trije kolommen binne genôch, en de tredde kolom is dy’t minsken weilitte.

De folchoarder fan selektors is ek wichtich. Seleksje en oersetting fan IPsec-belied barre op fêste stappen, sadat in selektor skreaun foar adressen foar oersetting miskien nea by it pakket past op ’e stap dy’t jo oannommen hawwe. Kontrolearje it belied dat ynstallearre is yn plak fan it belied dat jo fan doel wiene te ynstallearjen, want de twa ferskille krekt as in regel troch ien komponint akseptearre en troch in oar negearre wurdt:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Folchje de lading en it werompaad

In tsjinner dy’t de oersette boarne logt yn plak fan ’e yndividuele filiaalhost sil elke regel of rapport brekke dat oan it orizjinele adres keppele is. Foardat jo de mapping feroarje, moat jo útfine oft eat stroomôf in beslissing nimt út dat fjild: tagongslisten, auditrapporten, snelheidsbeheiningen, lisinsjekontrôles. Elk dêrfan is in plak dêr’t de oersetting letter as in ûnferklearre flater opkomt.

Protokollen dy’t adressen yn har lading drage, hawwe aparte planning nedich, want it oerskriuwen fan ’e bûtenste kop rekket de ynderlike ferwizing net. Aktive FTP, SIP en guon remote-access-produkten binne de klassike gefallen, en in ûntwerp dat se negearret sil wurkje foar webferkear en mislearje foar de applikaasje dy’t der ta die.

Weromferkear hinget ôf fan stateful mappings. Gateway-failover kin dy steat ferlieze, asymmetrysk routing kin it omgean, en in werstart kin it wiskje wylst sesjes oan ’e fiere kant iepen bliuwe. Dêrom binne in fersyk dat de bestimming berikt en in sesje dy’t foltôge wurdt twa ferskillende akseptaasje-útkomsten.

Weeg it ôf tsjin it fernûmerjen fan in site

It fernûmerjen fan ien konflikt site hellet de mapping hielendal fuort en lit in adresplan efter dat sûnder oersettingstabellen lêzen wurde kin. It is operasjoneel djoer: DNS-records, statyske tawizings, firewall-regels en elk dokumintearre adres moatte tegearre feroarje. De kosten komme ien kear, yn in plande finster, mei in dúdlike einsteat. Wat jo keapje is it fermogen om jierren letter in pakketopname sûnder oersjochstabel te lêzen.

Oersetting foarkomt de measte lokale feroarings en makket in mapping dy’t foar altyd ûnderhâlden wurde moat yn DNS, dokumintaasje en probleemoplossing. De kosten komme trochgeand, yn ’e foarm fan elke takomstige yngenieur dy’t leare moat dat ien foarheaksel binnen de tunnel eat oars betsjut.

Foar in tydlike ferbining of in partner-netwurk dat jo net kontrolearje, binne de trochgeande kosten meastentiids de muoite wurdich. Foar twa sites dy’t jo besitte en jierren besitte sille, is fernûmerjen faak de goedkeapere beslissing as de migraasje earlik rekkene wurdt.

Bewiis beide rjochtingen mei in echte sesje

Test in applikaasjesesje yn plak fan ien probe. In suksesfol echo-fersyk bewissiget dat ien rjochting fan ien protokol wurket, en it is folslein ferienichber mei in werompaad dat foar alles stateful mislearret. Brûk de tsjinst dy’t it ûntwerp motivearre, en lês syn log oan ’e fiere ein om te sjen hokker boarneadres it registrearre.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Befêstigje dan dat allinnich de bedoelde tsjinsten oer de mapping berikber binne. Oersetting feroaret adressearring en docht neat foar autorisaasje, dus firewall-belied beslút noch hieltyd wat tastien is. In ûntwerp dat fertrout op in dûnker oerset foarheaksel as syn tagongskontrôle hat hielendal gjin tagongskontrôle.

Registrearje de mapping, de teste sesje en de adressen dy’t elke kant waarnommen. De folgjende persoan dy’t dizze tunnel debugt hat dy trije feiten nediger as it konfiguraasjebestân.