Beindu milli einkarekinna LAN áður en þú bætir við annarri NAT

Tveir innri eldveggir, eitt einkarekið flutningssvið og beiðni um að leyfa nokkrum hýslum í hvoru LAN að tala við hina. Viðbragðið er að reisa VPN eða bæta við annarri NAT-lögn, og hvort tveggja kostar meira en vandamálið er verðugt. Venjuleg beining nægir þegar þrjú skilyrði eru uppfyllt: vistfangasviðin skarast ekki, báðar hliðar geta sent umferð aftur í hitt LAN og flutningssviðið er þegar nógu treyst fyrir gögnin. Athugaðu þessi þrjú áður en þú hannar nokkuð, því hvert þeirra breytir svarinu.

Þrjú skilyrði sem ráða hönnuninni

Fyrsta skilyrðið er vistfangarýmið. Ef bæði LAN nota sama RFC 1918-blokk getur beining ekki greint þau og þýðing verður óhjákvæmileg í stað valfrjáls. Annað er endurkoma leið: leið frá A til B er gagnslaus nema B viti líka hvernig á að ná í LAN A, og ósamhverf þekking er algengasta ástæðan fyrir því að beind hönnun sleppir svörum í hljóði.

Þriðja er traust. Beining færir pakka; hún verndar þá ekki. Einkarekið flutningssvið innan einnar byggingar er annað mál en afhending til þjónustuaðila eða tenging sem fer yfir sameiginlegan háskólabakgrunn. Ef sviðinu er ekki treyst er svarið göng milli tveggja eldveggja, og beiningaráætlunin hér fyrir neðan gildir áfram inni í þeim.

Aðeins þegar öll þrjú vísa í sömu átt vinnur einfalda hönnunin. Þegar eitt þeirra bregst skaltu laga það skilyrði skýrt í stað þess að hylja það með þýðingu, því NAT felur bilunina í stað þess að leysa hana.

Byggðu leiðaráætlunina á flutningsnetinu

Gefðu hverjum eldvegg vistfang á sameiginlega sviðinu og bættu við einni tiltekinni leið fyrir hvert fjarlægt LAN. Ekkert annað í núverandi uppsetningu þarf að hreyfast, og sérstaklega verður sjálfgefna internetleiðin að vera nákvæmlega þar sem hún er. Að skipta sjálfgefinni leið út fyrir jafningjaeldvegginn myndi senda hvert ótengt áfangastað yfir flutningssviðið, sem er mun stærri breyting en sú sem beðið er um. pfSense-skjöl um kyrra beiningu lýsa sömu leið-plús-gátt líkani fyrir þann vettvang, og samsvarandi stýring er til á hvaða eldvegg sem þú keyrir í raun.

Eldveggur A þjónar 10.30.0.0/24 og eldveggur B þjónar 10.40.0.0/24, og flutningsvistföngin tvö eru á 192.0.2.0/24. Hvert LAN-hýsil heldur staðbundnum eldvegg sínum sem gátt, svo eina nýja ástandið er ein leið á hvorri hlið. Á Linux-byggðum eldvegg lítur sama áætlun svona út, og framsending verður að vera virk annars verður leiðin leyst á meðan pakkanum er hent.

sysctl -w net.ipv4.ip_forward=1
ip route add 10.40.0.0/24 via 192.0.2.20 dev eth1
ip route get 10.40.0.15
traceroute -n 10.40.0.15

Haltu síun aðskilinni frá þýðingu

Beining og stefna eru mismunandi stýringar, og það er í þeirri seinni sem flestar beindar hannanir mistakast í raun. Leyfðu tilteknar uppsprettur, áfangastaði og þjónustur á inngangsjaðrinum sem pakkarnir fara í raun yfir, og mundu að viðmótsmerki eins og WAN er nafn, ekki yfirlýsing um traust. Flutningsport sem ber einkarekna umferð getur enn verið með blokkun einkavistfanga virka sjálfgefið.

Líttu svo á útþýðingu áður en þú ályktar að engin NAT eigi sér stað. Sjálfvirkar útleiðarreglur geta endurskrifað umferð sem var aldrei ætluð til þýðingar, og það eyðileggur uppsprettuvistföngin sem hin hliðin þarf fyrir eigin stefnu og skrár. Staðfestu að valin flæði haldi upprunalegum vistföngum sínum, og láttu internetþýðingarreglurnar í friði fyrir umferðina sem þarf þær enn.

iptables -t nat -S POSTROUTING
iptables -t nat -L POSTROUTING -n -v
tcpdump -ni eth1 -c 5 host 10.40.0.15

Þegar NAT er heiðarlegt svar

Þýðing á sér rétt á sér þegar vistfangasviðin skarast í raun og endurnúmerun er ekki tiltæk, eða þegar stefna krefst þess að önnur hliðin sjái eitt vistfang í stað undirnets. Í slíkum tilvikum er vísvitandi einn-á-einn eða porttakmörkuð vörpun hönnunarákvörðun með þekktar afleiðingar, ekki neyðarúrræði.

Afleiðingin sem verða verður að segja upphátt er að hin hliðin getur ekki lengur séð eða siað einstakar uppsprettur. Skrár falla saman í þýðingarvistfangið, stefna fyrir hvern hýsil hættir að virka og bilanaleit verður að eltingarleik um hvaða innri hýsil átti flæði á tilteknu augnabliki. Ef ekkert af þessu skiptir máli fyrir umferðina sem um ræðir er NAT í lagi.

Þegar flutningssviðið sjálft er röng forsendan

Ef sameiginlega sviðið fer yfir þjónustuaðila, sameiginlegt rof og eða hvaða slóð sem önnur hlið gæti lesið umferðina á, er beining ein og sér ekki fullkomið svar. Göng milli tveggja eldveggja gefa þér trúnað og auðkenningu jafningja, og leiðatöflan inni í þeim er sama taflan og þú hefðir skrifað á flutningssviðinu.

Ákveddu það út frá traustsspurningunni í fyrsta kafla, ekki af vana um að VPN séu öruggari. Göng yfir svið sem er þegar einkarekið bæta við rekstrarkostnaði og einni bilunarham enn án ávinnings, á meðan beining yfir ótreyst svið skiptir trúnaði fyrir einfaldleika sem þú hefur ekki efni á. Skrifaðu niður hvaða af þremur skilyrðum réð valinu, og næsti verkfræðingur þarf ekki að endurræða það.