Նույն ենթացանցը երկու ծայրերում. քարտեզագրեք հեռավոր LAN-ը ազատ տիրույթի վրա
Հաճախորդի կողմի հասցեների քարտեզագրումը կարող է համընկնող հեռավոր LAN-ը ներկայացնել ազատ տիրույթի ներքո, բայց միայն որոշ հաճախորդներ են այն կիրառում, և վերադարձի ուղին ամեն դեպքում պետք է գոյություն ունենա։
Տունը և գրասենյակը երկուսն էլ օգտագործում են 192.168.1.0/24, այնպես որ 192.168.1.1-ին ուղղված հարցումն ունի երկու հնարավոր պատասխան, և հաճախորդը ընտրում է մեկը՝ առանց հարցնելու։ Աշխատող գրասենյակային ցանցի վերահամարակալումը հազվադեպ է հայտնի լինում, և երթուղիչի հասցեները հաճախ ներկառուցված են տպիչների, տեսախցիկների և փաստաթղթերի մեջ։ Հաճախորդի կողմի հասցեների քարտեզագրումը կարող է փոխարենը հեռավոր ցանցը ներկայացնել ազատ տիրույթի ներքո, և հոսթի մասը կարող է մնալ նույնը, որպեսզի 192.168.1.20-ը երևա որպես 10.203.41.20։ Խնդիրն այն է, որ այն իրականացնում են միայն որոշ հաճախորդներ, և այն ոչինչ չի անում վերադարձի ուղու համար։
Նույն հոսթի երկու տեսք
Քարտեզագրումը պահպանում է հոսթի մասը և փոխում է միայն ցանցային մասը։ Այնուհետև նույն մեքենան պատասխանում է երկու հասցեով՝ կախված նրանից, թե որտեղ եք կանգնած։ Երկու սյունակները գրի առնելը նախքան որևէ բան կարգավորելը կանխում է մատյանների և firewall-ի կանոնների հետագա սխալ ընթերցումը։
| The application dials | The remote device is |
|---|---|
| 10.203.41.1 | 192.168.1.1 |
| 10.203.41.20 | 192.168.1.20 |
Տան տեղական սարքերը պահպանում են իրենց 192.168.1.x հասցեները, և դա է վարժության իմաստը։ Հարևան սենյակի տպիչը մնում է հասանելի, մինչ գրասենյակը երևում է տիրույթում, որը չի բախվում։
Արգումենտների հերթականությունը ողջ հնարքն է
Տարբերակը վերցնում է ուղղություն, ցանց և դիմակ, և կեղծանուն. առաջին ցանցն այն է, ինչ տեսնում է հաճախորդը, կեղծանունը՝ ինչ տեսնում է սերվերը։ Հեռավոր դարպասի հետևում գտնվող ռեսուրսների համար ուղղությունը նպատակակետի ձևն է։ Երկու ցանցերի շրջումն այն պատճառով, որ վերջին արգումենտը կոչվում է կեղծանուն, այն սխալն է, որը ստեղծում է թունել, որը միանում է և ոչինչ չի քարտեզագրում։
push "route 10.203.41.0 255.255.255.0"
push "client-nat dnat 10.203.41.0 255.255.255.0 192.168.1.0"Երթուղին այն է, ինչ ուղարկում է հաճախորդի փաթեթները նոր տիրույթի համար թունելի մեջ. թարգմանությունը ճանապարհին վերագրում է նպատակակետը։ 192.168.1.20-ից պատասխանը վերագրվում է 10.203.41.20-ի, որպեսզի հաճախորդի socket-ը մնա հետևողական։ Մեկ հոսթը նույն կերպ աշխատում է լրիվ երկարության դիմակով, քանի դեռ երթուղին և քարտեզագրումը նկարագրում են նույն հասցեն։
Սա հասցեների քարտեզագրում է, ոչ պորտերի քարտեզագրում։ Մեկ հոսթի վրա երկու ծառայություն չի կարելի բաժանել դրանով, և այն արձանագրությունը, որը IP հասցեները ներկառուցում է իր բովանդակության մեջ, դեռ կտեսնի իրականները։
Քարտեզագրումը վերադարձի ուղի չի ստեղծում
Թարգմանությունը կատարվում է հաճախորդի մոտ, ուստի սերվերը դեռ պետք է երթուղավորի պատասխանները թունել, և նրա firewall-ը դեռ պետք է թույլատրի դրանք։ Եթե հեռավոր դարպասը չգիտի, թե ինչպես հասնել թունելի ենթացանցին, հարցումը գալիս է, և պատասխանը դուրս է գալիս սխալ դռնից. քարտեզագրումը պարզապես ձախողումը ներկայացնում է որպես հաճախորդի խնդիր։
Սերվերի կողմի կանոնները պետք է նկարագրեն այն հասցեները, որոնք գոյություն ունեն սերվերի վրա թարգմանությունից հետո, ոչ թե հաճախորդին տեսանելի տիրույթը։ Կեղծանունը թույլատրող կանոնի մեջ պատճենելը վատնում է կես օր, որովհետև այդ կողմի ոչ մի փաթեթ այն չի կրում։
Ընտրեք այնպիսի կեղծանվան տիրույթ, որը չի բախվում հաճախորդի երթուղավորած որևէ այլ բանի հետ. այլ VPN, կոնտեյներային ցանց, երկրորդ գրասենյակ։ Այստեղ բախումը վերականգնում է սկզբնական երկիմաստությունը այլ համարի տակ և ավելի դժվար է նկատելի, որովհետև հասցեները անծանոթ են թվում։
Անունները և բովանդակությունը վերապրում են թարգմանությունը
Հոսթի անունը, որը լուծվում է իրական 192.168.1.20-ի, ուղարկում է բրաուզերը տեղական սարքին՝ հեռավորի փոխարեն, անկախ երթուղավորման աղյուսակից։ Մասնավոր DNS-ի պատասխանը պետք է ցույց տա հաճախորդին տեսանելի տիրույթին, մինչ TLS վկայականը դեռ կրում է այն անունը, որն ակնկալում է հավելվածը։ Փորձարկեք անունով, ոչ հասցեով, որովհետև հասցեն կարող է աշխատել, մինչ անունը լուռ լուծվում է սխալ ուղղությամբ։ Երբ հեռավոր դարպասը նույնպես սպասարկում է այդ գոտին, նրա սեփական գրառումներին նույնպես անհրաժեշտ է հաճախորդին տեսանելի տիրույթը։
Վերահասցեավորումները, ներկառուցված URL-ները և այն հավելվածները, որոնք իրենց հասցեն տալիս են բովանդակության մեջ, կարող են կոտրվել այնպես, ինչ ոչ մի փաթեթի քարտեզագրում չի վերանորոգի։ Դիտարկեք դրանք որպես հավելվածի խնդիր և ջանքը չափեք համապատասխանաբար, նախքան խոստանալը, որ վերահամարակալումը ավելորդ է։
Երեք ստուգում նախքան պարտավորվելը
Նախ, հաստատեք հաճախորդի իրականացումը։ Community OpenVPN-ը աջակցում է այս տարբերակին. OpenVPN 3-ի կոդային բազան այն թվարկում է չաջակցվող հատկանիշների շարքում, ուստի Connect ոճի հաճախորդին ուղարկված պրոֆիլը կարող է պարզապես անտեսել այն։ Ընդունված և երբեք չկիրառված հրահանգը ավելի վատ է, քան սխալը, որովհետև թունելը առողջ տեսք ունի։
Երկրորդ, առանձին ստուգեք երթուղին և թարգմանությունը կարճ ախտորոշիչ պատուհանով՝ բարձր մանրամասնությամբ, ապա ստուգեք իրական ծառայությունը, ոչ թե ping-ը։ Երրորդ, հաստատեք, որ տեղական երթուղիչը և հեռավոր ռեսուրսը մնում են տարբերելի հաճախորդից, քանի որ դա էր սկզբնական նպատակը։
Եթե հաճախորդը չի կարող կատարել թարգմանությունը, օգնություն խնդրեք դարպասի կողմից կամ ընդունեք վերահամարակալումը։ Նույն հասցեի համար ավելի շատ երթուղիներ ավելացնելը նախագիծ չէ։