ಸೈಟ್-ಟು-ಸೈಟ್ VPN ಒಳಗೆ NAT ತನ್ನ ಸ್ಥಾನವನ್ನು ಯಾವಾಗ ಗಳಿಸುತ್ತದೆ

ಎರಡು ಸೈಟ್‌ಗಳೂ ಒಂದೇ ಖಾಸಗಿ ಶ್ರೇಣಿಯನ್ನು ಬಳಸುತ್ತವೆ, ಮತ್ತು ಸುರಂಗ ಮೇಲೇರಿ ಬರುತ್ತದೆ ಆದರೆ ಅದರ ಮೂಲಕ ಯಾವುದೇ ಉಪಯುಕ್ತ ವಸ್ತು ಹಾದುಹೋಗುವುದಿಲ್ಲ. ಅನುವಾದವೇ ಸಾಮಾನ್ಯ ಉತ್ತರ, ಮತ್ತು ಅದು ನಿಜವಾದ ಉತ್ತರ: ದೂರದ ಬದಿಗೆ ಬೇರೆ ಶ್ರೇಣಿಯನ್ನು ತೋರಿಸುವುದು ಒಂದು ಅತಿಕ್ರಮಣ ಅಥವಾ ಇನ್ನೊಂದು ಜಾಲಬಂಧವು ಮಾರ್ಗನಿರ್ದೇಶಿಸಲಾಗದ ರಿಟರ್ನ್ ಪಥವನ್ನು ಪರಿಹರಿಸಬಹುದು. ಕೈಬಿಡುವ ಭಾಗವೆಂದರೆ ಅನುವಾದವು ಪ್ರತಿ ನಂತರದ ನಿರ್ಧಾರವು ನೋಡುವ ವಿಳಾಸಗಳನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ. ಇದನ್ನು ಬರೆಯಲಾದ ಮ್ಯಾಪಿಂಗ್‌ನೊಂದಿಗೆ ದಾಖಲಿತ ವಿನ್ಯಾಸ ನಿರ್ಧಾರವಾಗಿ ಪರಿಗಣಿಸಿ, ಪಿಂಗ್ ಯಶಸ್ವಿಯಾಗುವವರೆಗೆ ಸೇರಿಸುವ ನಿಯಮವಾಗಿ ಅಲ್ಲ.

ಯಾವ ವಿಳಾಸವನ್ನು ಮರುಬರೆಯಲಾಗುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸಿ

ಮೂಲ ಅನುವಾದವು ದೂರದ ಸೇವೆ ಮತ್ತು ಅದರ ಲಾಗ್‌ಗಳು ಯಾರನ್ನು ಕ್ಲೈಂಟ್ ಎಂದು ನೋಡುತ್ತವೆ ಎಂಬುದನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಶಾಖಾ ಹೋಸ್ಟ್ ಆಗಮಿಸಿದಾಗ ಗೇಟ್‌ವೇ ವಿಳಾಸವಾಗುತ್ತದೆ. ಗಮ್ಯಸ್ಥಾನ ಅಥವಾ ಪ್ರಿಫಿಕ್ಸ್ ಅನುವಾದವು ಬದಲಾಗಿ ದೂರದ ಸಂಪನ್ಮೂಲಕ್ಕೆ ಪರ್ಯಾಯ ವಿಳಾಸವನ್ನು ನೀಡುತ್ತದೆ. ಕೆಲವು ನಿಯೋಜನೆಗಳಿಗೆ ಎರಡು ಅನ್ಯಥಾ ಸಮಾನ ಜಾಲಬಂಧಗಳನ್ನು ಬೇರ್ಪಡಿಸಲು ಎರಡೂ ಕಡೆ ಸಂಯೋಜಿತ ಅನುವಾದ ಬೇಕು, ಮತ್ತು ಹೆಚ್ಚಿನ ಗೊಂದಲ ಈ ಸಂಯೋಜನೆಯಿಂದಲೇ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ.

ಅನುವಾದಕ್ಕೆ ಮೊದಲಿನ ಮೂಲ, ಅಪ್ಲಿಕೇಶನ್ ಕರೆಯುವಂತೆ ಗಮ್ಯಸ್ಥಾನ, ಮತ್ತು ಪ್ರತಿ ಗೇಟ್‌ವೇ ಹೊಂದಿಕೆಯಾಗುವ ವಿಳಾಸ ಜೋಡಿಯನ್ನು ಬರೆಯಿರಿ. ಮೂರು ಕಾಲಮ್‌ಗಳು ಸಾಕು, ಮತ್ತು ಮೂರನೇ ಕಾಲಮ್ ಜನರು ಬಿಟ್ಟುಬಿಡುವ ಕಾಲಮ್.

ಸೆಲೆಕ್ಟರ್‌ಗಳ ಕ್ರಮವೂ ಮುಖ್ಯ. IPsec ನೀತಿಯ ಆಯ್ಕೆ ಮತ್ತು ಅನುವಾದವು ನಿರ್ದಿಷ್ಟ ಹಂತಗಳಲ್ಲಿ ನಡೆಯುತ್ತದೆ, ಆದ್ದರಿಂದ ಅನುವಾದಕ್ಕೆ ಮೊದಲಿನ ವಿಳಾಸಗಳಿಗೆ ಬರೆದ ಸೆಲೆಕ್ಟರ್ ನೀವು ಊಹಿಸಿದ ಹಂತದಲ್ಲಿ ಪ್ಯಾಕೆಟ್‌ಗೆ ಎಂದಿಗೂ ಹೊಂದಿಕೆಯಾಗದಿರಬಹುದು. ಸ್ಥಾಪಿಸಲಾದ ನೀತಿಯನ್ನು ಪರಿಶೀಲಿಸಿ, ಸ್ಥಾಪಿಸಲು ಉದ್ದೇಶಿಸಿದ ನೀತಿಯನ್ನು ಅಲ್ಲ, ಏಕೆಂದರೆ ಒಂದು ಘಟಕ ನಿಯಮವನ್ನು ಸ್ವೀಕರಿಸಿ ಇನ್ನೊಂದು ನಿರ್ಲಕ್ಷಿಸಿದಾಗ ಎರಡೂ ವಿಭಿನ್ನವಾಗುತ್ತವೆ:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

ಪೇಲೋಡ್ ಮತ್ತು ರಿಟರ್ನ್ ಪಥವನ್ನು ಅನುಸರಿಸಿ

ಪ್ರತ್ಯೇಕ ಶಾಖಾ ಹೋಸ್ಟ್‌ಗೆ ಬದಲಾಗಿ ಅನುವಾದಿತ ಮೂಲವನ್ನು ಲಾಗ್ ಮಾಡುವ ಸರ್ವರ್ ಮೂಲ ವಿಳಾಸಕ್ಕೆ ಸಂಬಂಧಿಸಿದ ಯಾವುದೇ ನಿಯಮ ಅಥವಾ ವರದಿಯನ್ನು ಮುರಿಯುತ್ತದೆ. ಮ್ಯಾಪಿಂಗ್ ಬದಲಾಯಿಸುವ ಮೊದಲು, ಕೆಳಮುಖದಲ್ಲಿ ಏನಾದರೂ ಆ ಕ್ಷೇತ್ರದಿಂದ ನಿರ್ಧಾರ ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆಯೇ ಎಂದು ಕಂಡುಹಿಡಿಯಿರಿ: ಪ್ರವೇಶ ಪಟ್ಟಿಗಳು, ಆಡಿಟ್ ವರದಿಗಳು, ದರ ಮಿತಿಗಳು, ಪರವಾನಗಿ ಪರಿಶೀಲನೆಗಳು. ಇವುಗಳಲ್ಲಿ ಪ್ರತಿಯೊಂದೂ ಅನುವಾದವು ನಂತರ ವಿವರಿಸಲಾಗದ ವೈಫಲ್ಯವಾಗಿ ಕಾಣುವ ಸ್ಥಳ.

ತಮ್ಮ ಪೇಲೋಡ್ ಒಳಗೆ ವಿಳಾಸಗಳನ್ನು ಹೊತ್ತೊಯ್ಯುವ ಪ್ರೋಟೋಕಾಲ್‌ಗಳಿಗೆ ಪ್ರತ್ಯೇಕ ಯೋಜನೆ ಬೇಕು, ಏಕೆಂದರೆ ಹೊರಗಿನ ಹೆಡರ್ ಮರುಬರೆಯುವುದು ಒಳಗಿನ ಉಲ್ಲೇಖವನ್ನು ಮುಟ್ಟುವುದಿಲ್ಲ. ಸಕ್ರಿಯ FTP, SIP ಮತ್ತು ಕೆಲವು ದೂರಸ್ಥ-ಪ್ರವೇಶ ಉತ್ಪನ್ನಗಳು ಶಾಸ್ತ್ರೀಯ ಪ್ರಕರಣಗಳು, ಮತ್ತು ಅವುಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸುವ ವಿನ್ಯಾಸವು ವೆಬ್ ಸಂಚಾರಕ್ಕೆ ಕೆಲಸ ಮಾಡಿ ಮುಖ್ಯವಾದ ಅಪ್ಲಿಕೇಶನ್‌ಗೆ ವಿಫಲವಾಗುತ್ತದೆ.

ರಿಟರ್ನ್ ಸಂಚಾರವು ಸ್ಥಿತಿಯುಳ್ಳ ಮ್ಯಾಪಿಂಗ್‌ಗಳನ್ನು ಅವಲಂಬಿಸಿದೆ. ಗೇಟ್‌ವೇ ಫೇಲ್‌ಓವರ್ ಆ ಸ್ಥಿತಿಯನ್ನು ಕಳೆದುಕೊಳ್ಳಬಹುದು, ಅಸಮ್ಮಿತ ಮಾರ್ಗನಿರ್ದೇಶನವು ಅದನ್ನು ಬೈಪಾಸ್ ಮಾಡಬಹುದು, ಮತ್ತು ಮರುಪ್ರಾರಂಭವು ದೂರದ ಬದಿಯಲ್ಲಿ ಸೆಷನ್‌ಗಳು ತೆರೆದಿದ್ದರೂ ಅದನ್ನು ಅಳಿಸಬಹುದು. ಆದ್ದರಿಂದ ಗಮ್ಯಸ್ಥಾನವನ್ನು ತಲುಪುವ ವಿನಂತಿ ಮತ್ತು ಪೂರ್ಣಗೊಳ್ಳುವ ಸೆಷನ್ ಎರಡು ವಿಭಿನ್ನ ಸ್ವೀಕಾರ ಫಲಿತಾಂಶಗಳು.

ಸೈಟ್ ಮರುಸಂಖ್ಯೀಕರಣದ ವಿರುದ್ಧ ಇದನ್ನು ತೂಗಿ ನೋಡಿ

ಒಂದು ಘರ್ಷಣೆಯ ಸೈಟ್ ಮರುಸಂಖ್ಯೀಕರಣವು ಮ್ಯಾಪಿಂಗ್ ಅನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ತೆಗೆದುಹಾಕಿ ಅನುವಾದ ಕೋಷ್ಟಕಗಳಿಲ್ಲದೆ ಓದಬಹುದಾದ ವಿಳಾಸ ಯೋಜನೆಯನ್ನು ಬಿಡುತ್ತದೆ. ಇದು ಕಾರ್ಯಾಚರಣೆಯ ದೃಷ್ಟಿಯಿಂದ ದುಬಾರಿ: DNS ದಾಖಲೆಗಳು, ಸ್ಥಿರ ಹಂಚಿಕೆಗಳು, ಫೈರ್‌ವಾಲ್ ನಿಯಮಗಳು ಮತ್ತು ಪ್ರತಿ ದಾಖಲಿತ ವಿಳಾಸವೂ ಒಟ್ಟಿಗೆ ಬದಲಾಗಬೇಕು. ವೆಚ್ಚವು ಒಮ್ಮೆ, ಯೋಜಿತ ಕಿಟಕಿಯಲ್ಲಿ, ಸ್ಪಷ್ಟ ಅಂತಿಮ ಸ್ಥಿತಿಯೊಂದಿಗೆ ಬರುತ್ತದೆ. ನೀವು ಖರೀದಿಸುವುದು ವರ್ಷಗಳ ನಂತರ ಶೋಧನಾ ಕೋಷ್ಟಕವಿಲ್ಲದೆ ಪ್ಯಾಕೆಟ್ ಸೆರೆಹಿಡಿಯುವಿಕೆಯನ್ನು ಓದುವ ಸಾಮರ್ಥ್ಯ.

ಅನುವಾದವು ಹೆಚ್ಚಿನ ಸ್ಥಳೀಯ ಬದಲಾವಣೆಗಳನ್ನು ತಪ್ಪಿಸಿ, DNS, ದಾಖಲೀಕರಣ ಮತ್ತು ಸಮಸ್ಯೆ ಪರಿಹಾರದಲ್ಲಿ ಶಾಶ್ವತವಾಗಿ ನಿರ್ವಹಿಸಬೇಕಾದ ಮ್ಯಾಪಿಂಗ್ ಅನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ. ವೆಚ್ಚವು ನಿರಂತರವಾಗಿ ಬರುತ್ತದೆ, ಸುರಂಗದ ಒಳಗೆ ಒಂದು ಪ್ರಿಫಿಕ್ಸ್ ಬೇರೆ ಅರ್ಥವನ್ನು ಹೊಂದಿದೆ ಎಂದು ಕಲಿಯಬೇಕಾದ ಪ್ರತಿ ಭವಿಷ್ಯದ ಎಂಜಿನಿಯರ್ ರೂಪದಲ್ಲಿ.

ತಾತ್ಕಾಲಿಕ ಸಂಪರ್ಕ ಅಥವಾ ನೀವು ನಿಯಂತ್ರಿಸದ ಪಾಲುದಾರ ಜಾಲಬಂಧಕ್ಕೆ, ನಿರಂತರ ವೆಚ್ಚ ಸಾಮಾನ್ಯವಾಗಿ ಯೋಗ್ಯವಾಗಿರುತ್ತದೆ. ನಿಮ್ಮ ಒಡೆತನದಲ್ಲಿರುವ ಮತ್ತು ವರ್ಷಗಳ ಕಾಲ ಇರುವ ಎರಡು ಸೈಟ್‌ಗಳಿಗೆ, ವಲಸೆಯನ್ನು ಪ್ರಾಮಾಣಿಕವಾಗಿ ಲೆಕ್ಕ ಹಾಕಿದಾಗ ಮರುಸಂಖ್ಯೀಕರಣವೇ ಹೆಚ್ಚಾಗಿ ಅಗ್ಗದ ನಿರ್ಧಾರ.

ನಿಜವಾದ ಸೆಷನ್‌ನೊಂದಿಗೆ ಎರಡೂ ದಿಕ್ಕುಗಳನ್ನು ಸಾಬೀತುಪಡಿಸಿ

ಒಂದೇ ಪ್ರೋಬ್ ಬದಲು ಅಪ್ಲಿಕೇಶನ್ ಸೆಷನ್ ಅನ್ನು ಪರೀಕ್ಷಿಸಿ. ಯಶಸ್ವಿ ಪ್ರತಿಧ್ವನಿ ವಿನಂತಿಯು ಒಂದು ಪ್ರೋಟೋಕಾಲ್‌ನ ಒಂದು ದಿಕ್ಕು ಕೆಲಸ ಮಾಡುತ್ತದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಅದು ಸ್ಥಿತಿಯುಳ್ಳ ಯಾವುದಕ್ಕೂ ವಿಫಲವಾಗುವ ರಿಟರ್ನ್ ಪಥದೊಂದಿಗೆ ಸಂಪೂರ್ಣವಾಗಿ ಹೊಂದಿಕೊಳ್ಳುತ್ತದೆ. ವಿನ್ಯಾಸಕ್ಕೆ ಪ್ರೇರಣೆ ನೀಡಿದ ಸೇವೆಯನ್ನು ಬಳಸಿ, ಮತ್ತು ಅದು ಯಾವ ಮೂಲ ವಿಳಾಸವನ್ನು ದಾಖಲಿಸಿತು ಎಂದು ನೋಡಲು ದೂರದ ತುದಿಯಲ್ಲಿ ಅದರ ಲಾಗ್ ಓದಿ.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

ನಂತರ ಮ್ಯಾಪಿಂಗ್ ಮೂಲಕ ಉದ್ದೇಶಿತ ಸೇವೆಗಳು ಮಾತ್ರ ತಲುಪಬಹುದು ಎಂದು ದೃಢೀಕರಿಸಿ. ಅನುವಾದವು ವಿಳಾಸೀಕರಣವನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ ಮತ್ತು ಅಧಿಕಾರಕ್ಕೆ ಏನೂ ಮಾಡುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಫೈರ್‌ವಾಲ್ ನೀತಿಯೇ ಏನು ಅನುಮತಿಸಲಾಗಿದೆ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಅಸ್ಪಷ್ಟ ಅನುವಾದಿತ ಪ್ರಿಫಿಕ್ಸ್ ಅನ್ನು ಪ್ರವೇಶ ನಿಯಂತ್ರಣವಾಗಿ ಅವಲಂಬಿಸುವ ವಿನ್ಯಾಸಕ್ಕೆ ಪ್ರವೇಶ ನಿಯಂತ್ರಣವೇ ಇಲ್ಲ.

ಮ್ಯಾಪಿಂಗ್, ಪರೀಕ್ಷಿಸಿದ ಸೆಷನ್ ಮತ್ತು ಪ್ರತಿ ಬದಿಯೂ ಗಮನಿಸಿದ ವಿಳಾಸಗಳನ್ನು ದಾಖಲಿಸಿ. ಈ ಸುರಂಗವನ್ನು ಡೀಬಗ್ ಮಾಡುವ ಮುಂದಿನ ವ್ಯಕ್ತಿಗೆ ಸಂರಚನಾ ಕಡತಕ್ಕಿಂತ ಆ ಮೂರು ಸತ್ಯಗಳು ಹೆಚ್ಚು ಬೇಕು.