NAT á VPN-þjóninum eða á beininum? Bæði geta virkað

Að merkja tengingu sem sjálfgefna leið á fartölvu er skrefið sem allir muna, og það er einmitt það sem breytir engu á hliðinu. Biðlarinn sendir nú netbeiðnir inn í göngin; hvort þær yfirgefa bygginguna fer eftir framsendingu, þýðingarpunkti og afturleið sem nær til einkaaðseturs biðlarans. Tvö fyrirkomulög geta veitt öll þrjú, þau setja vinnuna á ólíka staði, og bæði bregðast á sama hljóðláta hátt þegar enginn á svarstefnuna. Að velja á milli þeirra er spurning um hver eigi að sjá safnið.

Goðsögnin: leið biðlarans byggir útganginn

Þvinguð göng er stefna á biðlarahlið: hún ákveður að umferð fari á VPN-millistykkið í stað hins líkamlega. Skjöl Microsoft um VPN-leiðir lýsa þessari skiptingu og þvinguðu hegðun, og það er fullyrðing um leiðatöflu biðlarans, ekki um framsendingarreglur þjónsins. Frá sjónarhóli biðlarans er göngin staðurinn þar sem netið býr; frá sjónarhóli hliðsins barst pakki frá heimilisfangi sem enginn ofar hefur heyrt um. Hvorug hlið er ranglega stillt ein og sér, og þess vegna lítur bilunin út eins og bilaður þjónn fyrir manneskjuna við fartölvuna.

Þetta misræmi er allt vandamálið sem afgangurinn af greininni leysir. Eitthvað verður að gera einkaaðsetur biðlarans endurgreiðanlegt, og valið er hvar.

Teiknið afturleiðina fyrst

Skrifið leiðina niður með raunverulegum heimilisföngum áður en þið snertið stillingu, og merkið tvo hugsanlega þýðingarpunkta á henni. Þessi tilraunastofa notar VPN-safn 10.70.0.0/24 með einum biðlara á 10.70.0.37, LAN-heimilisfang þjónsins 172.16.40.10, beini á 172.16.40.1 og opinberan útgang 203.0.113.40.

client 10.70.0.37 -- tunnel --> RRAS 172.16.40.10 -- LAN --> router 172.16.40.1 --> 203.0.113.40
                                  (translate here?)                             (or here?)

Þjónninn sem er þegar að vafra á netinu sannar aðeins sína eigin leið. Pakki sem er framsendur fyrir hönd biðlara er önnur ákvörðun, tekin af framsendingarstefnunni á sömu vél, og það er hún sem vantar yfirleitt. Að merkja þrjá ákvörðunarpunkta á skýringarmyndinni heldur samtalinu um einn þeirra í einu.

Valkostur A: þýða á VPN-þjóninum

Hér þýðir þjónninn uppruna biðlarans yfir í eigið LAN-heimilisfang áður en hann afhendir beininum pakkann, og beininn beitir venjulegri þýðingu sinni á leið út. Á svarinu endurheimtir vörpun beinans heimilisfang þjónsins og vörpun þjónsins endurheimtir heimilisfang biðlarans. Tvær þýðingar með ástandi í röð eru eðlilegar og framkvæmanlegar, að því tilskildu að báðar séu skráðar; beininn þarf aldrei leið að safninu, og það er aðdráttarafl þessa fyrirkomulags.

Get-RemoteAccess | Select-Object VpnS2SInterface, RoutingDomain
Get-NetNat | Select-Object Name, InternalIPInterfaceAddressPrefix

Notið þessar lestrar til að sjá hvað þjónninn hefur þegar í stað þess að gera ráð fyrir að NAT sé til staðar. Linux masquerade-regla sem er afrituð af bloggi er ekki Windows-stilling, og leyfi í eldvegg hýsilsins fyrir VPN-hlustaran er ekki sama stefna og leyfi til að framsenda beiðni biðlara áfram. Staðfestið framsendingarhlutverk þjónsins frá eigin stjórnborði, og skoðið þýðinguna svo sérstaklega, því þær tvær eru oft virkjaðar af mismunandi hlutum uppsetningar.

Valkostur B: flytja safnið á beininn

Í seinna fyrirkomulaginu framsendir þjónninn raunverulegt upprunameimilisfang biðlarans, og beininn þýðir það. Það heldur safninu sýnilegu við brúnina, sem hjálpar ef beininn er staðurinn þar sem umferðarstefna, skráning eða skoðun býr. Það þýðir líka að beininn þarf afturleið fyrir 10.70.0.0/24 sem bendir á 172.16.40.10, auk netstefnu sem inniheldur raunverulega þetta forskeyti; regla sem er skrifuð fyrir LAN-undirnet nær ekki hljóðlaust til safnsins.

Veljið þetta þegar brúnarbúnaðurinn er ætlaður eigandi stefnunnar og getur tekið við annarri forskeyti í leiðar- og þýðingartöflum sínum. Veljið þýðinguna á þjónshlið þegar safnið á að vera ósýnilegt ofar og beininn er ekki stýrður af sama teymi. Hvorugur valkostur er gefinn í skyn af neinum gátreit á biðlaranum, og hvorugur er öruggari almennt; þeir setja sýnileika og viðhald á ólíka staði.

Gerðu DNS, IPv6 og samþykkt skýra

Heimilisfangsþýðing lagar ekki nafnupplausn. Biðlarinn getur notað uppleystan sem fylgir VPN-sniðinu, einkanlegan uppleystan fyrir tiltekin nafnrými eða samþykktan opinberan, og óaðgengilegur uppleystur samkvæmt þeirri stefnu mun halda áfram að bregðast eftir að leiðsögnin virkar. Prófið nafn og heimilisfang hvort í sínu lagi svo bilunin tvö renni aldrei saman í eina skýrslu.

IPv6 þarf sinn eigin málsgrein í hönnuninni. Virk IPv4-þýðing segir ekkert um hvort IPv6-biðlarar hafi leið, gilt opinbert uppsprettu eða stefnu sem lokar þeim þegar göngin falla. Að láta það ósagt þýðir að helmingur biðlaranna fer hljóðlaust fram hjá hliðinu á meðan hinn helmingurinn virkar.

Fyrir samþykkt, fylgið einni leyfðri beiðni biðlara og svari hennar yfir báðar mörkin, og skrifið niður hvaða heimilisfang hvert mark á að sjá á þeirri stundu. Sú skráning er það sem gerir næstu breytingu safnsins að fimm mínútna breytingu í stað deilu um hver eigi vantaða afturleið. Haldið skráningunni með sniði biðlarans í stað þess að hafa hana í miða, því sniðið er það sem næsti verkfræðingur finnur fyrst.