Екі шетінде бірдей ішкі желі: қашықтағы LAN-ды бос ауқымға салыңыз

Үй мен кеңсе екеуі де 192.168.1.0/24 қолданады, сондықтан 192.168.1.1-ге сұраныстың екі ықтимал жауабы бар және клиент сұрамай-ақ біреуін таңдайды. Жұмыс істеп тұрған кеңсе желісін қайта нөмірлеу сирек ұнайды, ал маршрутизатор мекенжайлары принтерлерге, камераларға және құжаттамаға жиі кіріктірілген. Клиент жағындағы мекенжай салыстыру қашықтағы желіні орнына бос ауқым астында көрсете алады, ал хост бөлігі сол күйінде қалуы мүмкін, сондықтан 192.168.1.20 10.203.41.20 ретінде көрінеді. Мәселе мынада: оны тек кейбір клиенттер жүзеге асырады және ол қайтару жолы үшін ештеңе жасамайды.

Бір хосттың екі көрінісі

Салыстыру хост бөлігін сақтайды және тек желі бөлігін өзгертеді. Содан кейін сол машина қай жерде тұрғаныңызға байланысты екі мекенжайда жауап береді. Бірдеңе конфигурацияламас бұрын екі бағанды да жазып алу кейінірек журналдар мен firewall ережелерін қате оқудан сақтайды.

Үйдегі жергілікті құрылғылар өздерінің 192.168.1.x мекенжайларын сақтайды, жаттығудың мәні де осында. Көрші бөлмедегі принтер қолжетімді болып қалады, ал кеңсе қақтығыспайтын ауқым астында көрінеді.

Аргументтердің реті бүкіл айланың кілті

Опция бағытты, желі мен масканы және бүркеншік атауды қабылдайды: бірінші желі — клиент көретін нәрсе, бүркеншік ат — сервер көретін нәрсе. Қашықтағы шлюздің артында тұрған ресурстар үшін бағыт — тағайындау нысаны. Соңғы аргумент бүркеншік ат деп аталатындықтан екі желіні кері аударыстыру — қосылатын, бірақ ештеңені салыстырмайтын туннель жасайтын қате.

push "route 10.203.41.0 255.255.255.0"
push "client-nat dnat 10.203.41.0 255.255.255.0 192.168.1.0"

Маршрут — клиенттің жаңа ауқымға арналған пакеттерін туннельге жіберетін нәрсе; аударма жолда тағайындауды қайта жазады. 192.168.1.20-дан жауап 10.203.41.20-ға кері жазылады, сондықтан клиенттегі сокет дәйекті болып қалады. Бір хост толық ұзындықтағы маскамен дәл осылай жұмыс істейді, тек маршрут пен салыстыру бірдей мекенжайды сипаттаса болғаны.

Бұл мекенжай салыстыру, порт салыстыру емес. Бір хосттағы екі қызметті онымен бөлуге болмайды, ал IP мекенжайларын өз пайдалы жүктемесіне енгізетін протокол әлі де нақтыларын көреді.

Салыстыру қайтару жолын жасамайды

Аударма клиентте болады, сондықтан сервер жауаптарды туннельге маршруттауы керек және оның firewall-ы оларға әлі де рұқсат беруі керек. Егер қашықтағы шлюз туннельдің ішкі желісіне қалай жетуді білмесе, сұраныс келеді, ал жауап дұрыс емес есіктен шығады; салыстыру сәтсіздікті клиент мәселесіне ұқсатады ғана.

Сервер жағындағы ережелер аудармадан кейін серверде бар мекенжайларды сипаттауы керек, клиентке көрінетін ауқымды емес. Бүркеншік атты рұқсат ережесіне көшіру түстен кейінгі уақытты ысырап етеді, өйткені сол жақтағы ешбір пакет оны тасымалдамайды.

Клиент маршруттайтын кез келген басқа нәрсемен қақтығыспайтын бүркеншік ат ауқымын таңдаңыз: басқа VPN, контейнер желісі, екінші кеңсе. Мұндағы қақтығыс бастапқы екіұштылықты басқа нөмір астында қайтарады және мекенжайлар бейтаныс көрінгендіктен байқау қиынырақ.

Атаулар мен пайдалы жүктемелер аудармадан аман қалады

Нақты 192.168.1.20-ға шешілетін хост атауы браузерді қашықтағының орнына жергілікті құрылғыға жібереді, маршруттау кестесі не десе де. Жеке DNS жауабы клиентке көрінетін ауқымды нұсқауы керек, ал TLS сертификаты әлі де қолданба күтетін атауды алып жүреді. Мекенжаймен емес, атаумен сынаңыз, өйткені мекенжай жұмыс істеуі мүмкін, ал атау үнсіз қате бағытта шешілуі мүмкін. Қашықтағы шлюз сол аймаққа да қызмет етсе, оның өз жазбаларына да клиентке көрінетін ауқым қажет.

Қайта бағыттаулар, енгізілген URL-дар және өз мекенжайын пайдалы жүктемеде беретін қолданбалар ешбір пакет салыстыруы түзете алмайтын тәсілдермен бұзылуы мүмкін. Оларды қолданба мәселесі ретінде қараңыз және қайта нөмірлеу қажет емес деп уәде бермес бұрын күш-жігерді соған қарай өлшеңіз.

Міндеттеме алдындағы үш тексеру

Біріншіден, клиенттің іске асырылуын растаңыз. Community OpenVPN бұл опцияны қолдайды; OpenVPN 3 код базасы оны қолдау көрсетілмейтін мүмкіндіктер қатарына қосады, сондықтан Connect үлгісіндегі клиентке жіберілген профиль оны жай ғана елемеуі мүмкін. Қабылданып, ешқашан қолданылмайтын нұсқау қатеден де нашар, өйткені туннель сау көрінеді.

Екіншіден, маршрут пен аударманы жоғары мәліметтіліктегі қысқа диагностикалық терезе арқылы бөлек тексеріңіз, содан кейін ping емес, нақты қызметті сынаңыз. Үшіншіден, жергілікті маршрутизатор мен қашықтағы ресурстың клиенттен ажыратылатынын растаңыз, өйткені бұл бастапқы мақсат еді.

Егер клиент аударманы орындай алмаса, шлюз жағынан көмек сұраңыз немесе қайта нөмірлеуді қабылдаңыз. Бір мекенжай үшін қосымша маршруттар қосу — дизайн емес.