שני אתרים, תת־רשת אחת: בנו תצוגת כינוי לכל אחד

שני אתרי לקוחות מריצים את 192.168.50.0/24, ומהנדס מרוחק צריך להגיע למדפסת באותה כתובת בכל אחד מהם. שום תחבולת ניתוב לא פותרת את העמימות הזו לבדה. כל אתר זקוק לתצוגת כתובות נפרדת, והשער חייב לבחור את האתר מתוך התצוגה הזו לפני שהוא מעביר משהו.

לתוכנית ארבעה חלקים: קידומות כינוי, שני כיווני התרגום, מדיניות שכבת־על ושמות. כל חלק חייב להתיישב עם האחרים.

בחרו קידומת כינוי אחת לכל אתר

הקצו לכל אתר קידומת כינוי שלמה שאינה שייכת לאף אחד אחר בסביבה. תוכנית לשני אתרים יכולה למפות את 192.168.50.0/24 של אתר A אל 172.21.10.0/24 ואת הרשת המקומית הזהה של אתר B אל 172.21.20.0/24. בדקו את המועמדים מול כל רשת משתתפת, כולל VPC בענן ומאגרי VPN אחרים. מרחב הכתובות הפרטי משותף לכל ארגון, ולכן היות טווח בתחום RFC 1918 אינו אומר דבר על היותו פנוי כאן.

פרסמו את הכינוי, לא את תת־הרשת המקורית, למשתמשים מרוחקים. הטווח המקורי נשאר עובדה מקומית.

תרגמו בשני הכיוונים

תרגמו בשני הכיוונים. מיפוי היעד כותב מחדש כתובת כינוי לכתובת המקורית באתר המחזיק. מיפוי המקור כותב מחדש את הקורא המרוחק לכינוי שאתרים אחרים יכולים להבחין בו.

מיפוי סטטי אחד לאחד הוא דטרמיניסטי, וזה לא הופך את המימוש לחסר מצב. תרגום הפוך יכול להיות תלוי במצב החיבור, וכשלון־יתר או מסלולים א־סימטריים יכולים לשבור תוכנית שמתעלמת מכך. התיעוד של הפלטפורמה קובע איזה מאלה חל.

השלב המדויק שבו חלים מדיניות, בוררים ומסלולים שונה בין IPsec מבוסס מדיניות, מנהרות מבוססות מסלול ומוצרים אחרים. תכננו לזה שאתם מריצים.

העבירו את התוכנית דרך שכבת־העל

ברכזת, הקצו כל קידומת כינוי לנתיב האתר שמחזיק בה והתירו רק את המעבר שהמשימה דורשת. ברשת־שבכה, כל עמית רלוונטי זקוק לאותה קידומת ולידע המדיניות. הוספת מנהרות אינה מתקנת כתובות עמימות בעצמה.

פרסום של תת־רשת שלמה רחב יותר מפרסום שירות אחד. אם דרושים רק כמה מכונות או יציאות, שמרו על כללי הגישה צרים מהמיפוי.

תרגום הכותרת אינו כותב מחדש את מטעני היישום. הפניות, כתובות מוטמעות בקבצי תצורה והרשאות מבוססות מקור עדיין יכולות לשאת את הכתובת המקורית. בדקו את נתיב היישום, לא רק את הפינג. תגובת ICMP עובדת מוכיחה שהמיפוי קיים ואינה אומרת דבר על האם היישום מקבל את הכינוי.

תקנו את השמות שכל קורא רואה

תנו לשמות התחזוקה תשובות שמתאימות לתצוגה של הקורא. אם המהנדס המרוחק מפענח שם מארח, עליו להחזיר את כתובת הכינוי של אותו אתר, ולא את הטווח המקורי המשותף.

בדקו תצוגות DNS לכל אתר לפני חלון התחזוקה הראשון. שם שמתפענח לתת־הרשת המקורית מחזיר את הקורא אל העמימות שהתוכנית נועדה להסיר.

תעדו ואמתו לכל אתר

קבלו כל אתר בנפרד מקורא אמיתי ואשרו איזו מכונה ענתה. תעדו יחד את הכתובת המקורית, הכינוי, השער המחזיק והשירות המותר.

המלאי הזה הוא מה שמשמר את ההבחנה כשמגיע אתר שלישי עם אותה רשת מקומית ברירת מחדל. מדריך IPsec NAT מבוסס המדיניות מתעד מודל תרגום קונקרטי אחד; הוא אינו חוזה לכל פלטפורמה.