NAT ar an bhfreastalaí VPN nó ar an ródaire? Is féidir leis an dá rud oibriú

Is é an chéim a mheabhraíonn gach duine ná ceangal a mharcáil mar an ród réamhshocraithe ar ríomhaire glúine, agus is í sin an chéim nach n-athraíonn aon rud ar an ngeata. Seolann an cliant iarratais Idirlín isteach sa tollán anois; braitheann sé ar aistriú chun cinn, ar phointe aistrithe agus ar chonair fillte a shroicheann seoladh príobháideach an chliaint an bhfágann siad an foirgneamh. Is féidir le dhá shocrú na trí rud a sholáthar, cuireann siad an obair in áiteanna éagsúla, agus teipeann orthu araon ar an mbealach ciúin céanna nuair nach bhfuil aon duine freagrach as treo na freagartha. Is ceist faoi cé ba cheart an linn chliaint a fheiceáil atá sa rogha eatarthu.

An miotas: tógann ród an chliaint an bealach amach

Is polasaí ar thaobh an chliaint é tollánú éigeantach: socraíonn sé go dtéann an trácht chuig an adapter VPN seachas chuig an adapter fisiciúil. Cuireann doiciméid Microsoft faoi ródú VPN síos ar an deighilt agus ar an iompar éigeantach sin, agus is ráiteas é faoi thábla ród an chliaint, ní faoi rialacha aistrithe chun cinn an fhreastalaí. Ó thaobh an chliaint de is é an tollán an áit a bhfuil an tIdirlíon ina chónaí; ó thaobh an gheata de tháinig paicéad ó sheoladh nach bhfuil aithne ag aon duine suas an sruth air. Níl ceachtar taobh mí-chumraithe ann féin, agus is é sin an fáth a bhfuil cuma freastalaí briste ar an teip don duine ag an ríomhaire glúine.

Is é an mhí-chomhréir sin an fhadhb iomlán a réitíonn an chuid eile den alt seo. Caithfidh rud éigin seoladh príobháideach an chliaint a dhéanamh in-fhillte, agus is é an rogha ná cá háit.

Tarraing an chonair fillte ar dtús

Scríobh an chonair le seoltaí fíora sula dteagmhaíonn tú le haon socrú, agus marcáil an dá phointe aistrithe a d'fhéadfadh a bheith ann uirthi. Úsáideann an tsaotharlann seo linn VPN de 10.70.0.0/24 le cliant amháin ag 10.70.0.37, seoladh LAN an fhreastalaí 172.16.40.10, ródaire ag 172.16.40.1 agus bealach amach poiblí 203.0.113.40.

client 10.70.0.37 -- tunnel --> RRAS 172.16.40.10 -- LAN --> router 172.16.40.1 --> 203.0.113.40
                                  (translate here?)                             (or here?)

Ní chruthaíonn an freastalaí atá ag brabhsáil an Idirlín cheana ach a chonair féin. Is cinneadh difriúil é paicéad a aistrítear ar son cliaint, déanta ag an bpolasaí aistrithe chun cinn ar an meaisín céanna, agus is é sin an ceann a bhíonn ar iarraidh de ghnáth. Coinníonn marcáil na dtrí phointe cinnteoireachta ar an léaráid an comhrá faoi cheann acu ag an am.

Rogha A: aistrigh ar an bhfreastalaí VPN

Anseo aistríonn an freastalaí foinse an chliaint chuig a sheoladh LAN féin sula dtugann sé an paicéad don ródaire, agus cuireann an ródaire a ghnáth-aistriú i bhfeidhm ar an mbealach amach. Ar an bhfreagra, cuireann mapáil an ródaire seoladh an fhreastalaí ar ais, agus cuireann mapáil an fhreastalaí seoladh an chliaint ar ais. Tá dhá aistriú stáit as a chéile normálta agus indéanta, ar choinníoll go dtaifeadtar iad araon; ní bhíonn ród chuig an linn de dhíth ar an ródaire riamh, agus sin tarraingt an tsocraithe seo.

Get-RemoteAccess | Select-Object VpnS2SInterface, RoutingDomain
Get-NetNat | Select-Object Name, InternalIPInterfaceAddressPrefix

Úsáid na léitheoirí seo chun a fheiceáil cad atá ag an bhfreastalaí cheana féin seachas glacadh leis go bhfuil NAT i bhfeidhm. Ní cumraíocht Windows é riail masquerade Linux a cóipeáladh ó bhlag, agus ní hionann cead i mballa dóiteáin an óstaigh don éisteoir VPN agus an polasaí a cheadaíonn iarratas cliaint a aistriú chun cinn. Deimhnigh ról aistrithe chun cinn an fhreastalaí óna dhromchla bainistíochta féin, ansin féach ar an aistriú ar leithligh, mar is minic a chumasaíonn codanna éagsúla de chur i bhfeidhm an dá rud.

Rogha B: iompair an linn chuig an ródaire

Sa dara socrú aistríonn an freastalaí fíor-sheoladh foinse an chliaint chun cinn, agus aistríonn an ródaire é. Coinníonn sé sin an linn chliaint le feiceáil ag an imeall, rud a chabhraíonn má tá an ródaire san áit a bhfuil polasaí tráchta, logáil nó iniúchadh. Ciallaíonn sé freisin go bhfuil ród fillte de dhíth ar an ródaire do 10.70.0.0/24 a dhíríonn ar 172.16.40.10, chomh maith le polasaí Idirlín a chuimsíonn an réimír sin i ndáiríre; ní leathnaíonn riail a scríobhadh don fho-líonra LAN chuig an linn go ciúin.

Roghnaigh é seo nuair is é an gléas imeall an t-úinéir polasaí beartaithe agus nuair is féidir leis réimír eile a ghlacadh ina tháblaí ródaithe agus aistrithe. Roghnaigh an t-aistriú ar thaobh an fhreastalaí nuair ba cheart don linn fanacht dofheicthe suas an sruth agus nach bhfuil an ródaire á riar ag an bhfoireann chéanna. Ní thugtar le tuiscint ó aon bhosca tice ar an gcliant ceachtar rogha, agus níl ceachtar níos sábháilte go ginearálta; cuireann siad infheictheacht agus cothabháil in áiteanna éagsúla.

Déan DNS, IPv6 agus glacadh soiléir

Ní réitíonn aistriú seoltaí réiteach ainmneacha. Féadfaidh an cliant úsáid a bhaint as réiteoir a sholáthraítear leis an bpróifíl VPN, réiteoir príobháideach do spásanna ainmneacha áirithe, nó ceann poiblí ceadaithe, agus leanfaidh réiteoir nach féidir a shroicheadh faoin bpolasaí sin ag teip tar éis don ródú oibriú. Tástáil ainm agus seoladh ar leithligh ionas nach ndéanfar an dá theip a chumasc in aon tuarascáil amháin.

Teastaíonn a mhír féin ó IPv6 sa dearadh. Ní deir aistriú IPv4 atá ag obair aon rud faoi cé acu an bhfuil ród, foinse phoiblí bhailí nó polasaí ag cliaint IPv6 a chuireann bac orthu nuair a thiteann an tollán. Má fhágtar gan rá é sin, ciallaíonn sé go seachnaíonn leath na gcliant an geata go ciúin agus an leath eile ag obair.

Le haghaidh glacadh, lean aon iarratas cliaint ceadaithe amháin agus a fhreagra trasna an dá theorainn, agus scríobh síos an seoladh ba cheart do gach teorainn a fheiceáil ag an nóiméad sin. Is é an taifead sin a dhéanann eagarthóireacht cúig nóiméad den chéad athrú linne eile in ionad argóint faoi cé atá ina sheilbh ar an ród fillte atá ar iarraidh. Coinnigh an taifead leis an bpróifíl cliaint seachas i dticéad, óir is í an phróifíl an rud a gheobhaidh an t-innealtóir seo chugainn ar dtús.