Itselde subnet oan beide kanten: map it fiere LAN nei in frij berik
Kliïnt-side adresmapping kin in oerlapjend fier LAN ûnder in frij berik sjen litte, mar allinnich guon kliïnten tapasse it en it werompaad moat dochs bestean.
Thús en it kantoar beide draaie 192.168.1.0/24, dus in fersyk nei 192.168.1.1 hat twa mooglike antwurden en de kliïnt kiest der ien sûnder te freegjen. It omnummerjen fan in wurkjend kantoarnetwurk is selden populêr, en de routeradressen binne faak yn printers, kamera's en dokumintaasje fêstset. Kliïnt-side adresmapping kin it fiere netwurk ynstee dêrfan ûnder in frij berik sjen litte, en it hostdiel kin gelyk bliuwe sadat 192.168.1.20 as 10.203.41.20 ferskynt. De heak is dat allinnich guon kliïnten it ymplementearje, en it docht neat foar it werompaad.
Twa sichten op deselde host
De mapping hâldt it hostdiel en feroaret allinnich it netwurkdiel. Deselde masine antwurdet dan op twa adressen ôfhinklik fan wêr't jo steane. It opskriuwen fan beide kolommen foardat jo eat konfigurearje foarkomt in lettere ferkearde lêzing fan logs en firewall-regels.
| The application dials | The remote device is |
|---|---|
| 10.203.41.1 | 192.168.1.1 |
| 10.203.41.20 | 192.168.1.20 |
Lokale apparaten thús hâlde har eigen 192.168.1.x-adressen, en dat is it punt fan 'e oefening. De printer yn 'e oare keamer bliuwt berikber wylst it kantoar ûnder in berik ferskynt dat net botst.
De argumintoarder is de hiele trúk
De opsje nimt in rjochting, in netwurk en masker, en in alias: it earste netwurk is wat de kliïnt sjocht, de alias is wat de tsjinner sjocht. Foar boarnen efter de fiere gateway is de rjochting de bestimmingsfoarm. De twa netwurken omdraaie om't it lêste argumint in alias hjit, is de flater dy't in tunnel makket dy't ferbynt en neat mapt.
push "route 10.203.41.0 255.255.255.0"
push "client-nat dnat 10.203.41.0 255.255.255.0 192.168.1.0"De rûte is wat de pakketten fan 'e kliïnt foar it nije berik de tunnel yn stjoert; de oersetting skriuwt de bestimming ûnderweis oer. In antwurd fan 192.168.1.20 wurdt werom skreaun nei 10.203.41.20 sadat de socket op 'e kliïnt konsistint bliuwt. In inkele host wurket itselde mei in masker fan folsleine lingte, salang't de rûte en de mapping deselde adres beskriuwe.
Dit is adresmapping, gjin portmapping. Twa tsjinsten op ien host kinne der net mei skieden wurde, en in protokol dat IP-adressen yn syn payload ynbêdet sil noch altyd de echte sjen.
De mapping makket gjin werompaad
Oersetting bart by de kliïnt, dus de tsjinner moat antwurden noch altyd nei de tunnel rûte en syn firewall moat se noch altyd tastean. As de fiere gateway net wit hoe't it it tunnel-subnet berikt, komt it fersyk oan en giet it antwurd troch de ferkearde doar; de mapping lit de flater allinnich as in kliïntprobleem lykje.
Regels oan 'e tsjinnerkant moatte de adressen beskriuwe dy't nei de oersetting op 'e tsjinner besteane, net it berik dat de kliïnt sjocht. It kopiearjen fan 'e alias yn in tastanregel ferspilet in middei, want gjin pakket oan dy kant draacht it.
Kies in aliasberik dat net botst mei eat oars dat de kliïnt rûte: in oare VPN, in kontenernetwurk, in twadde kantoar. In botsing hjir bringt de oarspronklike dûbelsinnigens ûnder in oar nûmer werom en is hurder te sjen om't de adressen frjemd lykje.
Nammen en payloads oerlibje de oersetting
In hostnamme dy't nei de echte 192.168.1.20 oplost, stjoert de browser nei it lokale apparaat ynstee fan it fiere, nettsjinsteande wat de routingtabel seit. It antwurd fan 'e partikuliere DNS moat nei it berik wize dat de kliïnt sjocht, wylst it TLS-sertifikaat noch altyd de namme draacht dy't de applikaasje ferwachtet. Test mei de namme ynstee fan mei it adres, want it adres kin wurkje wylst de namme stil de ferkearde kant op oplost. Wannear't de fiere gateway dy sône ek betsjinnet, hawwe syn eigen records ek it berik nedich dat de kliïnt sjocht.
Omliedings, ynbêde URL's en applikaasjes dy't har eigen adres yn in payload jouwe, kinne brekke op manieren dy't gjin pakketmapping reparearje kin. Behannelje se as in applikaasjeprobleem en mjit de ynspanning dêrnei foardat jo beare dat omnummerjen net nedich is.
Trije kontrôles foardat jo jo ferbine
Earst, befêstigje de kliïntymplemintaasje. Community OpenVPN stipet dizze opsje; de OpenVPN 3-koadebasis neamt it by de net-stipe funksjes, dus in profyl dat nei in kliïnt yn Connect-styl stjoerd wurdt, kin it gewoan negearje. In direktyf dat akseptearre en nea tapast wurdt is slimmer as in flater, want de tunnel liket sûn.
Twad, ferifiearje de rûte en de oersetting apart mei in koart diagnostysk finster by hege detaillearring, en test dan de eigentlike tsjinst ynstee fan in ping. Tred, befêstigje dat de lokale router en de fiere boarne fan 'e kliïnt ûnderskiedber bliuwe, om't dat it oarspronklike doel wie.
As de kliïnt de oersetting net dwaan kin, freegje dan help oan 'e gatewaykant of akseptearje in omnummering. Mear rûtes foar itselde adres tafoegje is gjin ûntwerp.