Wéini NAT bannen engem Site-zu-Site-VPN säi Plaz verdéngt

Zwou Säite benotzen allebéid dee selwechte private Beräich, an den Tunnel geet op, während näischt Nëtzlechches en duerchgeet. D’Übersetzung ass déi üblech Äntwert, an et ass eng richteg: engem aneren Deel eng aner Rei presentéieren kann eng Iwwerschneidung oder en Retourwee léisen, deen dat anert Netzwierk net route kann. Den Deel, deen iwwersprong gëtt, ass datt d’Übersetzung d’Adressen ännert, déi all spéider Entscheedung gesäit. Behandelt et als dokumentéiert Designentscheedung mat enger schrëftlecher Mapping, net als Regel, déi bäigefüügt gëtt bis e Ping geléngt.

Entscheet wéi eng Adress ëmgeschriwwe gëtt

D’Quellübersetzung ännert wat dee fernen Déngscht an seng Loggen als Client gesinn, sou datt e Filialhost bei der Arrivée eng Gateway-Adress gëtt. D’Zil- oder Präfixübersetzung presentéiert amplaz eng alternativ Adress fir eng ferm Ressource. E puer Deploiementer brauchen eng koordinéiert Übersetzung op béide Säiten, fir zwee soss identesch Netzwierker ze trennen, an an der Kombinatioun fänkt de gréissten Deel vun der Konfusioun un.

Schreift d’Quell virun der Übersetzung op, d’Zil wéi d’Applikatioun se nennt, an d’Adresspaar op dat all Gateway passt. Dräi Kolonnen duergen, an déi drëtt Kolonn ass déi, déi d’Leit ewechloossen.

D’Uerdnung vun de Selektoren ass och wichteg. Auswiel an Übersetzung vun IPsec-Politik geschitt a definéierte Stufen, sou datt e Selektor, dee fir Adressen virun der Übersetzung geschriwwe gouf, vläicht ni op de Paket an der Stuf passt, déi Dir ugeholl hutt. Préift d’Politik, déi installéiert ass, amplaz vun der Politik, déi Dir wollt installéieren, well déi zwee divergéieren genau wann eng Regel vun engem Bestanddeel ugeholl an vun engem aneren ignoréiert gëtt:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Verfollegt d’Payload an de Retourwee

E Server, deen d’übersat Quell amplaz vum eenzelen Filialhost loggt, brécht all Regel oder Rapport, dee mat der ursprénglecher Adress verbonne ass. Ier Dir d’Mapping ännert, fannt eraus ob et eppes flossaïwwer gëtt, dat aus deem Feld eng Entscheedung hëlt: Zougrëffslëschten, Auditrapporten, Geschwindegkeetsgrenzen, Lizenzpréifungen. Jiddwereen dovu ass eng Plaz, wou d’Übersetzung spéider als onerkläerten Ausfall opdaucht.

Protokoller, déi Adressen an hirer Payload droen, brauchen eng separat Planung, well d’Ëmschreiwe vum äusseren Header den banneschten Referenz net beréiert. Aktiv FTP, SIP an e puer Fernzougrëffsprodukter sinn déi klassesch Fäll, an en Design, deen se ignoréiert, funktionéiert fir Webverkéier a versoe fir d’Applikatioun, déi wichteg war.

Retourverkéier hänkt vu stateful Mappings of. De Gateway-Failover kann deen Zoustand verléieren, asymmetresch Routing kann en ëmgoen, an e Neistart kann en läschen, während Sessiounen um fernen Enn op bleiwen. Dofir sinn eng Ufro, déi d’Zil erreecht, an eng Sessioun, déi fäerdeg gëtt, zwee verschidde Akzeptanzresultater.

Weiht et géint d’Renummeréierung vun enger Säit of

D’Renummeréierung vun enger konfliktéierender Säit hëlt d’Mapping komplett ewech a léisst en Adressplang, deen ouni Übersetzungstabellen gelies ka ginn. Et ass operationell deier: DNS-Aschreiwungen, statesch Zoudeelungen, Firewall-Reeglen an all dokumentéiert Adress mussen zesummen änneren. D’Käschte falen eemol, an engem geplangte Fënster, mat engem kloeren Endzoustand. Wat Dir kaaft, ass d’Fäegkeet, eng Paketopnam Joeren méi spéit ouni Nochschlagstabelle ze liesen.

D’Übersetzung vermeit déi meescht lokal Ännerungen a schaaft eng Mapping, déi an DNS, Dokumentatioun a Problemléisung fir ëmmer ënnerhale muss ginn. D’Käschte falen kontinuéierlech, an der Form vun all zukünftege Ingenieur, dee léiere muss, datt ee Präfix bannen dem Tunnel eppes anescht heescht.

Fir eng temporär Verbindung oder en Partner-Netzwierk, dat Dir net kontrolléiert, sinn d’kontinuéierlech Käschten normalerweis wäert. Fir zwou Säiten, déi Dir besëtzt a Joeren besëtze wäert, ass d’Renummeréierung dacks déi méi bëlleg Entscheedung, wann d’Migratioun éierlech gerechent gëtt.

Beweist béid Richtunge mat enger richteger Sessioun

Test eng Applikatiounssessioun amplaz vun enger eenzeler Sonde. Eng erfollegräich Echo-Ufro beweist, datt eng Richtung vun engem Protokoll funktionéiert, an et ass komplett kompatibel mat engem Retourwee, deen fir alles stateful versoe. Benotzt den Déngscht, deen den Design motivéiert huet, a liest seng Log um fernen Enn, fir ze gesinn wéi eng Quelladress en opgeholl huet.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Bestätegt dann, datt nëmmen déi virgesinn Déngschter iwwer d’Mapping erreechbar sinn. D’Übersetzung ännert d’Adresséierung an mécht näischt fir d’Autorisatioun, dofir entscheet d’Firewall-Politik nach ëmmer, wat erlaabt ass. En Design, dat sech op en däischteren übersate Präfix als seng Zougrëffskontroll verléisst, huet iwwerhaapt keng Zougrëffskontroll.

Hält d’Mapping, déi geteste Sessioun an d’Adressen, déi all Säit observéiert huet, fest. Déi nächst Persoun, déi dësen Tunnel debugt, brauch déi dräi Fakten méi wéi d’Konfiguratiounsdatei.