Երբ է NAT-ը կայք-կայք VPN-ի ներսում արժանանում իր տեղին

Երկու կայքերն էլ օգտագործում են նույն մասնավոր միջակայքը, և թունելը բարձրանում է, մինչդեռ ոչ մի օգտակար բան չի անցնում դրա միջով։ Թարգմանությունը սովորական պատասխանն է, և դա իրական պատասխան է. հեռավոր կողմին այլ միջակայք ներկայացնելը կարող է լուծել համընկնում կամ վերադարձի ուղի, որը մյուս ցանցը չի կարող երթուղավորել։ Բաց թողնված մասն այն է, որ թարգմանությունը փոխում է այն հասցեները, որոնք տեսնում է յուրաքանչյուր հետագա որոշում։ Դիտարկեք այն որպես փաստաթղթավորված նախագծային որոշում՝ գրավոր քարտեզագրմամբ, ոչ որպես կանոն, որն ավելացվում է այնքան ժամանակ, մինչև ping-ը հաջողվի։

Որոշեք, թե որ հասցեն է վերագրվում

Աղբյուրի թարգմանությունը փոխում է այն, թե ինչպես է հեռավոր ծառայությունը և նրա մատյանները տեսնում հաճախորդին, այնպես որ մասնաճյուղի հոսթը ժամանելիս դառնում է դարպասի հասցե։ Նպատակակետի կամ նախածանցի թարգմանությունը փոխարենը ներկայացնում է այլընտրանքային հասցե հեռավոր ռեսուրսի համար։ Որոշ տեղադրումներ պահանջում են համակարգված թարգմանություն երկու կողմերում՝ երկու այլ կերպ նույնական ցանցեր բաժանելու համար, և հենց այդ համակցության մեջ է սկսվում շփոթության մեծ մասը։

Գրեք աղբյուրը թարգմանությունից առաջ, նպատակակետը՝ ինչպես այն անվանում է հավելվածը, և հասցեների այն զույգը, որին համապատասխանում է յուրաքանչյուր դարպաս։ Երեք սյունակը բավարար է, և երրորդ սյունակն այն է, որը մարդիկ բաց են թողնում։

Ընտրիչների հերթականությունը նույնպես կարևոր է։ IPsec քաղաքականության ընտրությունն ու թարգմանությունը տեղի են ունենում սահմանված փուլերում, ուստի նախքան թարգմանությունը հասցեների համար գրված ընտրիչ կարող է երբեք չհամապատասխանել փաթեթին ձեր ենթադրած փուլում։ Ստուգեք տեղադրված քաղաքականությունը, ոչ այն, որը մտադիր էիք տեղադրել, քանի որ երկուսը տարբերվում են հենց այն պահին, երբ կանոնը ընդունում է մի բաղադրիչ, իսկ մյուսը անտեսում է այն։

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Հետևեք բեռնվածությանը և վերադարձի ուղուն

Սերվերը, որը գրանցում է թարգմանված աղբյուրը՝ առանձին մասնաճյուղի հոսթի փոխարեն, կկոտրի բնօրինակ հասցեին կապված ցանկացած կանոն կամ հաշվետվություն։ Նախքան քարտեզագրումը փոխելը պարզեք՝ արդյոք ներքևում ինչ-որ բան որոշում է կայացնում այդ դաշտից՝ մուտքի ցանկեր, աուդիտի հաշվետվություններ, արագության սահմանափակումներ, լիցենզիայի ստուգումներ։ Դրանցից յուրաքանչյուրը վայր է, որտեղ թարգմանությունը հետագայում ի հայտ է գալիս որպես անբացատրելի խափանում։

Իրենց բեռնվածության մեջ հասցեներ կրող արձանագրությունները պահանջում են առանձին պլանավորում, քանի որ արտաքին վերնագրի վերագրումը չի շոշափում ներքին հղումը։ Ակտիվ FTP-ն, SIP-ը և հեռահար մուտքի որոշ արտադրանքներ դասական դեպքերն են, և դրանք անտեսող նախագիծը կաշխատի վեբ երթևեկության համար և կձախողվի այն հավելվածի համար, որը կարևոր էր։

Վերադարձի երթևեկությունը կախված է վիճակով քարտեզագրումներից։ Դարպասի փոխանջատումը կարող է կորցնել այդ վիճակը, ասիմետրիկ երթուղավորումը կարող է շրջանցել այն, և վերագործարկումը կարող է մաքրել այն, մինչ սեսիաները բաց են մնում հեռավոր կողմում։ Այդ պատճառով նպատակակետին հասնող հարցումը և ավարտվող սեսիան ընդունման երկու տարբեր արդյունքներ են։

Կշռեք այն կայքի վերահամարակալման հետ

Մեկ հակասող կայքի վերահամարակալումը ամբողջությամբ հեռացնում է քարտեզագրումը և թողնում է հասցեների պլան, որը կարելի է կարդալ առանց թարգմանության աղյուսակների։ Այն գործառնականորեն թանկ է. DNS գրառումները, ստատիկ նշանակումները, firewall-ի կանոնները և յուրաքանչյուր փաստաթղթավորված հասցե պետք է փոխվեն միասին։ Ծախսը գալիս է մեկ անգամ, պլանավորված պատուհանում, հստակ վերջնական վիճակով։ Այն, ինչ գնում եք, տարիներ անց փաթեթների գրառումը առանց որոնման աղյուսակի կարդալու ունակությունն է։

Թարգմանությունը խուսափում է տեղական փոփոխությունների մեծ մասից և ստեղծում է քարտեզագրում, որը պետք է պահպանվի DNS-ում, փաստաթղթերում և խնդիրների լուծման մեջ ընդմիշտ։ Ծախսը գալիս է շարունակաբար՝ յուրաքանչյուր ապագա ինժեների տեսքով, ով պետք է սովորի, որ մեկ նախածանց թունելի ներսում այլ բան է նշանակում։

Ժամանակավոր կապի կամ ձեր չվերահսկած գործընկեր ցանցի համար շարունակական ծախսը սովորաբար արժե։ Երկու կայքերի համար, որոնք պատկանում են ձեզ և տարիներ կպատկանեն, վերահամարակալումը հաճախ ավելի էժան որոշումն է, երբ միգրացիան ազնվորեն հաշվարկվի։

Ապացուցեք երկու ուղղություններն իրական սեսիայով

Փորձարկեք հավելվածի սեսիա, ոչ թե մեկ զոնդ։ Հաջող արձագանքի հարցումը ապացուցում է, որ մեկ արձանագրության մեկ ուղղություն աշխատում է, և այն լիովին համատեղելի է վերադարձի ուղու հետ, որը ձախողվում է ցանկացած վիճակային բանի համար։ Օգտագործեք այն ծառայությունը, որը պայմանավորել է նախագիծը, և կարդացեք նրա մատյանը հեռավոր ծայրում՝ տեսնելու, թե որ աղբյուրի հասցեն է գրանցել։

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Այնուհետև հաստատեք, որ քարտեզագրման միջով հասանելի են միայն նախատեսված ծառայությունները։ Թարգմանությունը փոխում է հասցեավորումը և ոչինչ չի անում լիազորման համար, ուստի firewall-ի քաղաքականությունը դեռ որոշում է, թե ինչ է թույլատրված։ Նախագիծը, որը հենվում է անհասկանալի թարգմանված նախածանցի վրա որպես մուտքի վերահսկում, ընդհանրապես մուտքի վերահսկում չունի։

Գրանցեք քարտեզագրումը, փորձարկված սեսիան և այն հասցեները, որոնք դիտել է յուրաքանչյուր կողմ։ Հաջորդ մարդը, ով կվրիպազերծի այս թունելը, ավելի շատ կարիք ունի այդ երեք փաստերի, քան կոնֆիգուրացիայի ֆայլի։