Hvenær NAT innan site-til-site VPN á skilið sinn stað

Tveir staðir nota báðir sama einkaaðgangsnetið, og göngin koma upp á meðan ekkert gagnlegt fer í gegnum þau. Þýðing er venjulega svarið, og það er raunverulegt svar: að sýna fjarlægu hliðinni annað svið getur leyst skörun eða endurkomuleið sem hitt netið getur ekki beint. Hlutinn sem er sleppt er að þýðingin breytir vistföngunum sem hver síðari ákvörðun sér. Meðhöndlaðu þetta sem skjalfesta hönnunarákvörðun með skriflegri vörpun, ekki sem reglu sem bætt er við þar til ping tekst.

Ákveddu hvaða vistfang er endurskrifað

Upprunasþýðing breytir því sem fjarlæga þjónustan og annálar hennar sjá sem biðlara, svo útibúsþjónn verður hliðarheimilisfang við komu. Þýðing áfangastaðar eða forskeytis sýnir aftur á móti varavistfang fyrir fjarlæga auðlind. Sumar uppsetningar þurfa samhæfða þýðingu á báðum hliðum til að aðgreina tvö annars eins net, og í samsetningunni byrjar mest ruglið.

Skrifaðu upprunann fyrir þýðingu, áfangastaðinn eins og forritið kallar hann, og vistfangapar sem hver hlið passar við. Þrír dálkar duga, og þriðji dálkurinn er sá sem fólk sleppir.

Röð valanna skiptir líka máli. Val og þýðing IPsec-stefnu fer fram á skilgreindum stigum, svo vali sem skrifað er fyrir vistföng fyrir þýðingu passar ef til vill aldrei við pakkann á því stigi sem þú gerðir ráð fyrir. Athugaðu stefnuna sem er uppsett en ekki stefnuna sem þú ætlaðir að setja upp, því þær greinir á nákvæmlega þegar regla er samþykkt af einum hluta og hunsuð af öðrum:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Fylgdu farminum og endurkomuleiðinni

Þjónn sem skráir þýdda upprunann í stað einstaks útibúsþjóns mun brjóta hvaða reglu sem er eða skýrslu sem tengist upprunalega vistfanginu. Áður en þú breytir vörpuninni skaltu komast að því hvort eitthvað niðurstreymis tekur ákvörðun út frá þeim reit: aðgangslistar, endurskoðunarskýrslur, hraðatakmarkanir, leyfisathuganir. Hvert þeirra er staður þar sem þýðingin kemur síðar fram sem óútskýrð bilun.

Samskiptareglur sem bera vistföng inni í farminum þurfa sérstaka áætlun, því endurskrifun ytri hauss snertir ekki innri tilvísunina. Virkt FTP, SIP og sumar fjartengslarvörur eru klassísku tilfellin, og hönnun sem hunsar þær virkar fyrir vefumferð og bregst fyrir forritið sem skipti máli.

Endurkomaumferð fer eftir vörpunum með ástandi. Hliðarskipti geta týnt því ástandi, ósamhverf leiðsögn getur farið fram hjá því, og endurræsing getur hreinsað það á meðan lotur vera opnar hinum megin. Þess vegna eru beiðni sem nær áfangastað og lota sem klárast tvær ólíkar samþykkisniðurstöður.

Vegið það gegn endurnúmerun staðar

Endurnúmerun eins stangandi staðar fjarlægir vörpunina algjörlega og skilur eftir vistfangaáætlun sem hægt er að lesa án þýðingartaflna. Hún er dýr í rekstri: DNS-færslur, kyrrstæð úthlutun, eldveggsreglur og hvert skjalfest vistfang verða að breytast saman. Kostnaðurinn kemur einu sinni, í skipulögðum glugga, með skýru lokastandi. Það sem þú kaupir er hæfileikinn til að lesa pakkaskráningu mörgum árum síðar án uppflettitöflu.

Þýðing kemst hjá flestum staðbundnum breytingum og býr til vörpun sem viðhalda verður í DNS, skjölum og bilanaleit að eilífu. Kostnaðurinn kemur stöðugt, í formi sérhvers verðandi verkfræðings sem verður að læra að eitt forskeyti þýðir eitthvað annað inni í göngunum.

Fyrir tímabundið samband eða samstarfsnet sem þú stjórnar ekki er stöðugi kostnaðurinn yfirleitt þess virði. Fyrir tvo staði sem þú átt og munt eiga í mörg ár er endurnúmerun oft ódýrari ákvörðun þegar flutningurinn er reiknaður heiðarlega.

Sannaðu báðar áttir með raunverulegri lotu

Prófaðu forritslotu frekar en eitt prófunarskot. Árangursrík bergmálsbeiðni sannar að ein átt einnar samskiptareglu virkar, og hún er algjörlega samhæf við endurkomuleið sem bregst fyrir allt sem hefur ástand. Notaðu þjónustuna sem hvatti hönnunina, og lestu annál hennar hinum megin til að sjá hvaða upprunavistfang hún skráði.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Staðfestu síðan að aðeins fyrirhuguðu þjónusturnar séu aðgengilegar gegnum vörpunina. Þýðing breytir vistfangsstýringu og gerir ekkert fyrir heimild, svo eldveggsstefnan ræður enn hvað er leyft. Hönnun sem treystir á óskýrt þýtt forskeyti sem aðgangsstýringu sína hefur enga aðgangsstýringu yfirleitt.

Skráðu vörpunina, prófuðu lotuna og vistföngin sem hvor hlið fylgdist með. Næsta manneskja sem aflúar þessi göng þarf þessar þrjár staðreyndir meira en stillingarskrána.