Сайт-сайт VPN ішіндегі NAT қашан өз орнын алады

Аударма қабаттасқан префиксті немесе бір жақты қайтару жолын құтқара алады, бірақ әр саясат көретін мекенжайларды өзгертеді. Карталауды анық жобалаңыз.

Екі сайт та бірдей жеке ауқымды пайдаланады, және туннель көтеріледі, бірақ ол арқылы ешқандай пайдалы нәрсе өтпейді. Аударма — әдеттегі жауап, және бұл нақты жауап: алыс жаққа басқа ауқымды көрсету қабаттасуды немесе басқа желі маршруттай алмайтын қайтару жолын шеше алады. Назардан тыс қалатын бөлік — аударма әрбір кейінгі шешім көретін мекенжайларды өзгертеді. Мұны жазбаша карталаумен құжатталған дизайн шешімі ретінде қарастырыңыз, ping сәтті болғанша қосылатын ереже ретінде емес.

Қай мекенжай қайта жазылатынын шешіңіз

Бастау көзін аудару алыс қызмет пен оның журналдары клиент ретінде көретін нәрсені өзгертеді, сондықтан филиал хосты келгенде шлюздің мекенжайына айналады. Ал межелік немесе префикс аудармасы алыс ресурс үшін балама мекенжай ұсынады. Кейбір орналастырулар екі бірдей желіні бөлу үшін екі жақта да үйлестірілген аударманы қажет етеді, және шатасудың көбі осы комбинациядан басталады.

Аудармаға дейінгі бастау көзін, қолданба атайтын межелікті және әр шлюз сәйкестендіретін мекенжай жұбын жазыңыз. Үш баған жеткілікті, ал үшінші баған — адамдар ұмытып кететін баған.

Селекторлардың реті де маңызды. IPsec саясатын таңдау мен аудару белгіленген кезеңдерде болады, сондықтан аудармаға дейінгі мекенжайларға жазылған селектор сіз болжаған кезеңде пакетке ешқашан сәйкес келмеуі мүмкін. Орнатылған саясатты тексеріңіз, орнатуды жоспарлаған саясатты емес, өйткені екеуі дәл бір компонент ережені қабылдап, екіншісі елемеген кезде ажырайды:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Пайдалы жүктеме мен қайтару жолын қадағалаңыз

Аударылған бастау көзін жеке филиал хостының орнына жазатын сервер бастапқы мекенжайға байланған кез келген ережені немесе есепті бұзады. Карталауды өзгертер алдында төменгі ағында бірдеңе сол өрістен шешім қабылдай ма, соны анықтаңыз: рұқсат тізімдері, аудит есептері, жылдамдық шектеулері, лицензия тексерулері. Олардың әрқайсысы — аударма кейін түсініксіз ақау ретінде көрінетін орын.

Мекенжайларды өз пайдалы жүктемесінде таситын протоколдар жеке жоспарлауды қажет етеді, өйткені сыртқы тақырыпшаны қайта жазу ішкі сілтемеге тимейді. Белсенді FTP, SIP және кейбір қашықтан қатынау өнімдері классикалық жағдайлар, ал оларды елемейтін дизайн веб-трафик үшін жұмыс істеп, маңызды болған қолданба үшін сәтсіздікке ұшырайды.

Қайтару трафигі күйі бар карталауларға тәуелді. Шлюздің ауысуы бұл күйді жоғалтуы мүмкін, асимметриялық маршруттау оны айналып өтуі мүмкін, ал қайта іске қосу оны тазалауы мүмкін, сессиялар алыс жақта ашық қалады. Сондықтан межелікке жеткен сұраныс пен аяқталған сессия — қабылдаудың екі түрлі нәтижесі.

Сайтты қайта нөмірлеумен салыстырыңыз

Бір қайшы келетін сайтты қайта нөмірлеу карталауды толығымен жояды және аударма кестелерінсіз оқылатын мекенжай жоспарын қалдырады. Операциялық тұрғыдан қымбат: DNS жазбалары, статикалық тағайындаулар, firewall ережелері және әрбір құжатталған мекенжай бірге өзгеруі керек. Шығын бір рет, жоспарланған терезеде, анық соңғы күймен келеді. Сіз сатып алатын нәрсе — жылдар өткен соң іздеу кестесінсіз пакет түсірілімін оқу қабілеті.

Аударма жергілікті өзгерістердің көбінен аулақ болады және DNS, құжаттама және ақаулықтарды жою жүйесінде мәңгі ұстауға тура келетін карталау жасайды. Шығын үздіксіз келеді, туннель ішінде бір префикстің басқа мағына беретінін үйренуі тиіс әрбір болашақ инженер түрінде.

Уақытша қосылым немесе өзіңіз бақыламайтын серіктес желісі үшін үздіксіз шығын әдетте тұрарлық. Өзіңізге тиесілі және жылдар бойы тиесілі болатын екі сайт үшін көшіруді адал есептесе, қайта нөмірлеу жиі арзанырақ шешім.

Екі бағытты нақты сессиямен дәлелдеңіз

Бір зондтың орнына қолданба сессиясын сынаңыз. Сәтті жаңғырық сұранысы бір протоколдың бір бағыты жұмыс істейтінін дәлелдейді және күйі бар кез келген нәрсе үшін сәтсіздікке ұшырайтын қайтару жолымен толық үйлеседі. Дизайнды тудырған қызметті пайдаланыңыз және алыс ұшындағы журналын оқып, қандай бастау мекенжайын жазғанын көріңіз.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Содан кейін карталау арқылы тек ниет етілген қызметтерге қол жеткізуге болатынын растаңыз. Аударма мекенжайлауды өзгертеді және авторландыру үшін ештеңе жасамайды, сондықтан firewall саясаты ненің рұқсат етілгенін әлі де шешеді. Қараңғы аударылған префикске қатынас бақылауы ретінде сүйенетін дизайнның қатынас бақылауы мүлдем жоқ.

Карталауды, сыналған сессияны және әр жақ байқаған мекенжайларды жазыңыз. Бұл туннельді жөндейтін келесі адамға конфигурация файлынан гөрі сол үш факт көбірек қажет.

Қатысты мақалалар