Сайт-сайт VPN ичиндеги NAT качан өз ордун ээлейт

Эки сайт тең бирдей жеке диапазонду колдонушат, жана туннель көтөрүлөт, бирок андан эч кандай пайдалуу нерсе өтпөйт. Которуу — кадимки жооп, жана бул чыныгы жооп: алыскы тарапка башка диапазонду көрсөтүү кабатташууну же башка тармак маршруттай албаган кайтуу жолун чече алат. Көңүлдөн калган бөлүгү — которуу ар бир кийинки чечим көргөн даректерди өзгөртөт. Муну жазуу түрүндөгү карталоо менен документтелген долбоордук чечим катары караңыз, ping ийгиликтүү болгонго чейин кошулган эреже катары эмес.

Кайсы дарек кайра жазыларын чечиңиз

Булакты которуу алыскы кызмат жана анын журналдары кардар катары көргөн нерсени өзгөртөт, ошондуктан филиал хосту келгенде шлюздун дарегине айланат. Ал эми багыт же префикс которуусу алыскы ресурс үчүн альтернативалуу даректи сунуштайт. Айрым жайгаштыруулар эки окшош тармакты бөлүү үчүн эки тарапта тең шайкеш келтирилген которууну талап кылат, жана башаламандыктын көбү ушул айкалыштан башталат.

Которууга чейинки булакты, колдонмо атаган багытты жана ар бир шлюз дал келтирген дарек жубугун жазыңыз. Үч мамыча жетиштүү, жана үчүнчү мамыча — адамдар унуткан мамыча.

Селекторлордун тартиби да маанилүү. IPsec саясатын тандоо жана которуу белгиленген баскычтарда болот, ошондуктан которууга чейинки даректер үчүн жазылган селектор сиз божомолдогон баскычта пакетке эч качан дал келбеши мүмкүн. Орнотулган саясатты текшериңиз, орнотууну ниет кылган саясатты эмес, анткени экөө так бир компонент эрежени кабыл алып, экинчиси этибарга албаганда ажырайт:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Пайдалуу жүктөм менен кайтуу жолун ээрчиңиз

Которулган булакты өзүнчө филиал хостунун ордуна жазуучу сервер баштапкы дарекке байланган ар кандай эрежени же отчётту бузат. Карталоону өзгөртүүдөн мурун төмөнкү агымда бир нерсе ошол талаадан чечим кабыл алабы, аныктаңыз: кирүү тизмелери, аудит отчёттору, ылдамдык чектөөлөрү, лицензия текшерүүлөрү. Алардын ар бири — которуу кийин түшүнүксүз бузулуу катары көрүнгөн жер.

Даректерди өз пайдалуу жүктөмүндө алып жүргөн протоколдор өзүнчө пландоону талап кылат, анткени сырткы аталышты кайра жазуу ички шилтемеге тийбейт. Активдүү FTP, SIP жана айрым алыскы кирүү продуктулары классикалык учурлар, жана аларды этибарга албаган долбоор веб-трафик үчүн иштейт, маанилүү болгон колдонмо үчүн ишке ашпайт.

Кайтуу трафиги абалы бар карталоолорго көз каранды. Шлюздун которулушу бул абалды жоготушу мүмкүн, асимметриялык маршруттоо аны айланып өтүшү мүмкүн, ал эми кайра иштетүү аны тазалашы мүмкүн, сессиялар алыскы тарапта ачык бойдон калат. Ошондуктан багытка жеткен суроо-талап менен аяктаган сессия — кабыл алуунун эки башка натыйжасы.

Сайтты кайра номурлоо менен салыштырыңыз

Бир карама-каршы сайтты кайра номурлоо карталоону толугу менен жок кылат жана которуу таблицаларысыз окула турган дарек планын калтырат. Операциялык жактан кымбат: DNS жазуулары, статикалык дайындоолор, firewall эрежелери жана ар бир документтелген дарек бирге өзгөрүшү керек. Чыгым бир жолу, пландалган терезеде, так акыркы абал менен келет. Сиз сатып алган нерсе — жылдар өткөндөн кийин издөө таблицасыз пакет жазуусун окуу жөндөмү.

Которуу жергиликтүү өзгөрүүлөрдүн көбүнөн качат жана DNS, документтер жана көйгөйлөрдү чечүүдө түбөлүккө сакталышы керек болгон карталоону түзөт. Чыгым үзгүлтүксүз келет, туннелдин ичинде бир префикстин башка маанини билдирерин үйрөнүшү керек болгон ар бир келечектеги инженердин түрүндө.

Убактылуу туташуу же өзүңүз көзөмөлдөбөгөн өнөктөш тармак үчүн үзгүлтүксүз чыгым адатта татыктуу. Өзүңүзгө таандык жана жылдар бою таандык боло турган эки сайт үчүн миграцияны чынчыл эсептегенде кайра номурлоо көбүнчө арзаныраак чечим.

Эки багытты реалдуу сессия менен далилдеңиз

Бир зонддун ордуна колдонмо сессиясын сынаңыз. Ийгиликтүү жаңыртуу суроо-талабы бир протоколдун бир багыты иштээрин далилдейт, жана ал абалы бар нерселердин баары үчүн ишке ашпаган кайтуу жолу менен толук шайкеш келет. Долбоорго түрткү берген кызматты колдонуңуз жана алыскы учундагы журналын окуп, кайсы булак дарегин жазганын көрүңүз.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Андан кийин карталоо аркылуу болгон гана кызматтар жеткиликтүү экенин ырастаңыз. Которуу даректөөнү өзгөртөт жана авторизация үчүн эч нерсе кылбайт, ошондуктан эмнеге жол берилгенин firewall саясаты чечет. Бүдөмүк которулган префикске кирүү көзөмөлү катары таянган долбоордун кирүү көзөмөлү такыр жок.

Карталоону, сыналган сессияны жана ар бир тарап байкаган даректерди жазыңыз. Бул туннелди жөндөй турган кийинки адамга конфигурация файлынан көрө ушул үч факт көбүрөөк керек.