Cando o NAT dentro dunha VPN de sitio a sitio gaña o seu sitio

Dous sitios usan o mesmo rango privado e o túnel levanta mentres nada útil o cruza. A tradución é a resposta habitual, e é unha resposta real: presentar un rango distinto ao lado remoto pode resolver unha superposición ou unha ruta de retorno que a outra rede non pode encamiñar. A parte que se omite é que a tradución cambia os enderezos que ve cada decisión posterior. Tráteo como unha decisión de deseño documentada cun mapeo escrito, non como unha regra engadida ata que un ping ten éxito.

Decida que enderezo se reescribe

A tradución de orixe cambia o que o servizo remoto e os seus rexistros ven como cliente, así que un host de sucursal convértese nun enderezo de pasarela á chegada. A tradución de destino ou de prefixo presenta en cambio un enderezo alternativo para un recurso remoto. Algúns despregamentos necesitan tradución coordinada nos dous lados para separar dúas redes por demais idénticas, e na combinación é onde comeza a maior parte da confusión.

Anote a orixe antes da tradución, o destino tal como o nomea a aplicación e o par de enderezos co que coincide cada pasarela. Tres columnas abondan, e a terceira columna é a que a xente omite.

A orde dos selectores tamén importa. A selección e a tradución de políticas IPsec ocorren en etapas definidas, así que un selector escrito para enderezos previos á tradución pode non coincidir nunca co paquete na etapa que supuxo. Comprobe a política instalada en lugar da que pensaba instalar, porque as dúas diverxen xusto cando un compoñente acepta unha regra e outro a ignora:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Siga a carga útil e a ruta de retorno

Un servidor que rexistra a orixe traducida en lugar do host de sucursal individual romperá calquera regra ou informe ligado ao enderezo orixinal. Antes de cambiar o mapeo, averigüe se algo augas abaixo toma unha decisión a partir dese campo: listas de acceso, informes de auditoría, límites de velocidade, comprobacións de licenza. Cada un deles é un lugar onde a tradución aparece máis tarde como un fallo inexplicado.

Os protocolos que levan enderezos dentro da súa carga útil necesitan unha planificación aparte, porque reescribir a cabeceira externa non toca a referencia interna. FTP activo, SIP e algúns produtos de acceso remoto son os casos clásicos, e un deseño que os ignore funcionará para o tráfico web e fallará para a aplicación que importaba.

O tráfico de retorno depende de mapeos con estado. A conmutación por erro da pasarela pode perder ese estado, o encamiñamento asimétrico pode evitalo e un reinicio pode borralo mentres as sesións seguen abertas no lado remoto. Por iso unha solicitude que chega ao destino e unha sesión que se completa son dous resultados de aceptación distintos.

Péseo fronte a renumerar un sitio

Renumerar un sitio en conflito elimina o mapeo por completo e deixa un plan de enderezos que se pode ler sen táboas de tradución. É caro operativamente: os rexistros DNS, as asignacións estáticas, as regras do cortalumes e cada enderezo documentado teñen que cambiar á vez. O custo chega unha vez, nunha xanela planificada, cun estado final claro. O que compra é a capacidade de ler unha captura de paquetes anos despois sen unha táboa de consulta.

A tradución evita a maioría dos cambios locais e crea un mapeo que hai que manter en DNS, documentación e resolución de problemas para sempre. O custo chega de forma continua, en forma de cada futuro enxeñeiro que ten que aprender que un prefixo significa outra cousa dentro do túnel.

Para unha conexión temporal ou unha rede de socio que non controla, o custo continuo adoita valer a pena. Para dous sitios que posúe e posuirá durante anos, renumerar adoita ser a decisión máis barata unha vez que a migración se conta con honestidade.

Demostre ambos os sentidos cunha sesión real

Probe unha sesión de aplicación en lugar dunha sonda única. Unha solicitude de eco correcta demostra que un sentido dun protocolo funciona, e é do todo compatible cunha ruta de retorno que falla para calquera cousa con estado. Use o servizo que motivou o deseño e lea o seu rexistro no extremo remoto para ver que enderezo de orixe rexistrou.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Logo confirme que só os servizos previstos son accesibles a través do mapeo. A tradución cambia o enderezamento e non fai nada pola autorización, así que a política do cortalumes segue decidindo que se permite. Un deseño que se apoia nun prefixo traducido escuro como o seu control de acceso non ten ningún control de acceso.

Rexiste o mapeo, a sesión probada e os enderezos que observou cada lado. A próxima persoa que depure este túnel necesita eses tres feitos máis que o ficheiro de configuración.