Mikor érdemli ki helyét a NAT egy telephelyek közötti VPN-en belül

Két telephely ugyanazt a privát tartományt használja, és az alagút feljön, miközben semmi hasznos nem halad át rajta. A fordítás a szokásos válasz, és valódi válasz: egy másik tartomány bemutatása a távoli oldalnak megoldhat egy átfedést vagy egy olyan visszaútvonalat, amelyet a másik hálózat nem tud irányítani. A kihagyott rész az, hogy a fordítás megváltoztatja a címeket, amelyeket minden későbbi döntés lát. Dokumentált tervezési döntésként kezelje írásos leképezéssel, ne szabályként, amelyet addig adnak hozzá, amíg egy ping sikerül.

Döntse el, melyik cím íródik át

A forrásfordítás megváltoztatja, hogy a távoli szolgáltatás és naplói kit látnak kliensként, így egy fióktelepi gazdagép érkezéskor átjárócímmé válik. A cél- vagy előtagfordítás ehelyett alternatív címet mutat egy távoli erőforráshoz. Egyes telepítéseknél mindkét oldalon összehangolt fordításra van szükség két egyébként azonos hálózat szétválasztásához, és a kombináció az, ahol a legtöbb zavar kezdődik.

Írja le a forrást a fordítás előtt, a célt ahogy az alkalmazás nevezi, és azt a cím párt, amelyre minden átjáró illeszkedik. Három oszlop elég, és a harmadik oszlop az, amelyet az emberek kihagynak.

A szelektorok sorrendje is számít. Az IPsec-házirend kiválasztása és fordítása meghatározott szakaszokban történik, ezért a fordítás előtti címekre írt szelektor soha nem illeszkedhet a csomaghoz abban a szakaszban, amelyet feltételezett. Ellenőrizze a telepített házirendet, ne azt, amelyet telepíteni szándékozott, mert a kettő pontosan akkor tér el, amikor egy szabályt az egyik összetevő elfogad, a másik pedig figyelmen kívül hagy:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Kövesse a hasznos terhelést és a visszaútvonalat

Egy kiszolgáló, amely a lefordított forrást naplózza az egyedi fióktelepi gazdagép helyett, megtöri az eredeti címhez kötött minden szabályt vagy jelentést. A leképezés módosítása előtt derítse ki, hogy valami lejjebb dönt-e arról a mezőről: hozzáférési listák, auditjelentések, sebességkorlátok, licencellenőrzések. Ezek mindegyike olyan hely, ahol a fordítás később megmagyarázhatatlan hibaként bukkan fel.

A hasznos terhelésükben címeket hordozó protokollok külön tervezést igényelnek, mert a külső fejléc átírása nem érinti a belső hivatkozást. Az aktív FTP, a SIP és egyes távoli hozzáférési termékek a klasszikus esetek, és az ezeket figyelmen kívül hagyó tervezés működik a webes forgalomhoz, és meghiúsul a fontos alkalmazásnál.

A visszaforgalom állapotkövető leképezésektől függ. Az átjáró feladatátvétele elveszítheti ezt az állapotot, az aszimmetrikus útvonalválasztás megkerülheti, és egy újraindítás törölheti, miközben a munkamenetek nyitva maradnak a távoli oldalon. Ezért a célt elérő kérés és a befejeződő munkamenet két különböző elfogadási eredmény.

Mérje össze egy telephely újraszámozásával

Egy ütköző telephely újraszámozása teljesen megszünteti a leképezést, és olyan címtervet hagy maga után, amely fordítási táblák nélkül olvasható. Üzemeltetésileg drága: a DNS-rekordokat, a statikus hozzárendeléseket, a tűzfalszabályokat és minden dokumentált címet együtt kell megváltoztatni. A költség egyszer jelentkezik, egy tervezett ablakban, világos végállapottal. Amit vásárol, az a képesség, hogy évekkel később keresőtábla nélkül olvasson el egy csomagrögzítést.

A fordítás elkerüli a legtöbb helyi változtatást, és olyan leképezést hoz létre, amelyet örökre fenn kell tartani a DNS-ben, a dokumentációban és a hibaelhárításban. A költség folyamatosan jelentkezik, minden jövőbeli mérnök formájában, akinek meg kell tanulnia, hogy egy előtag az alagúton belül mást jelent.

Egy ideiglenes kapcsolat vagy egy általad nem irányított partnerhálózat esetében a folyamatos költség általában megéri. Két olyan telephely esetében, amelyet évekig birtokol és birtokolni fog, az újraszámozás gyakran az olcsóbb döntés, ha a migrációt őszintén számolják.

Bizonyítsa mindkét irányt valódi munkamenettel

Alkalmazás-munkamenetet teszteljen egyetlen próba helyett. Egy sikeres visszhangkérés bizonyítja, hogy egy protokoll egyik iránya működik, és teljesen összeegyeztethető egy olyan visszaútvonallal, amely bármi állapotkövető esetében meghiúsul. Használja azt a szolgáltatást, amely a tervezést motiválta, és olvassa el a naplóját a távoli végén, hogy lássa, melyik forráscímet rögzítette.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Ezután erősítse meg, hogy a leképezésen keresztül csak a szándékolt szolgáltatások érhetők el. A fordítás megváltoztatja a címzést, és semmit nem tesz az engedélyezésért, ezért a tűzfal-házirend továbbra is eldönti, mi engedélyezett. Egy olyan tervezés, amely egy homályos lefordított előtagra támaszkodik hozzáférés-vezérlésként, egyáltalán nem rendelkezik hozzáférés-vezérléssel.

Rögzítse a leképezést, a tesztelt munkamenetet és azokat a címeket, amelyeket mindkét oldal megfigyelt. A következő embernek, aki ezt az alagutat hibakeresi, többre van szüksége ehhez a három tényhez, mint a konfigurációs fájlhoz.