NAT um VPN-Server oder um Router? Béides kann funktionéieren

Eng Verbindung als Standardroute um Laptop ze markéieren ass de Schrëtt, un deen all een erënnert, an et ass just deen, deen um Gateway näischt ännert. De Client schéckt elo d’Internetsufroen an den Tunnel; ob se d’Gebai verloossen, hänkt vun der Viruleedung, engem Iwwersetzungspunkt an engem Réckwee of, deen d’privat Adress vum Client erreecht. Zwee Uerdnunge kënnen déi dräi liwweren, se setzen d’Aarbecht op verschidde Plazen, a béid versoe op déi selwecht stëll Manéier, wa keen d’Richtung vun der Äntwert huet. Tëschent hinne wielen ass eng Fro, wien de Clientpool gesi soll.

De Mythos: eng Clientroute baut den Ausgang

Erzwongenen Tunneling ass eng Politik op der Clientsäit: se entscheet, datt den Traffic un den VPN-Adapter geet amplaz un de physeschen. D’Dokumentatioun vu Microsoft iwwer VPN-Routing beschreift déi Opdeelung an deen erzwongene Verhalen, an et ass eng Ausso iwwer d’Routentabelle vum Client, net iwwer d’Viruleedungsregele vum Server. Aus der Siicht vum Client ass den Tunnel de Plaz, wou den Internet wunnt; aus der Siicht vum Gateway ass e Pak vun enger Adress ukomm, vun där uewendriwwer keen je héiert huet. Keng Säit ass fir sech eleng falsch konfiguréiert, an dofir gesäit de Feeler fir d’Persoun um Laptop aus wéi e futti Server.

Déi Diskrepanz ass de ganze Problem, deen de Rescht vum Artikel léist. Eppes muss d’privat Adress vum Client zréckgabbar maachen, an d’Wiel ass wou.

Zeechent fir d’éischt de Réckwee

Schreift de Wee mat echte Adressen op, ier dir eng Astellung ufässt, a markéiert déi zwee méiglech Iwwersetzungspunkten drop. Dës Laboratoire benotzt e VPN-Pool vun 10.70.0.0/24 mat engem Client op 10.70.0.37, enger LAN-Adress vum Server vun 172.16.40.10, engem Router op 172.16.40.1 an engem ëffentlechen Ausgang vun 203.0.113.40.

client 10.70.0.37 -- tunnel --> RRAS 172.16.40.10 -- LAN --> router 172.16.40.1 --> 203.0.113.40
                                  (translate here?)                             (or here?)

De Server, deen den Internet schonn duerchsucht, beweist just säin eegene Wee. E Pak, deen am Numm vun engem Client virugelued gëtt, ass eng aner Entscheedung, déi vun der Viruleedungspolitik op derselwechter Maschinn geholl gëtt, an et ass déi, déi meeschtens feelt. Dräi Entscheedungspunkte um Diagramm ze markéieren hält d’Gespréich gläichzäiteg iwwer ee vun hinnen.

Optioun A: um VPN-Server iwwersetzen

Hei iwwersetzt de Server d’Quell vum Client an seng eegen LAN-Adress, ier en de Pak un de Router iwwergëtt, an de Router wend seng gewéinlech Iwwersetzung um Auswee un. Op der Äntwert restauréiert d’Mapping vum Router d’Serveradress, an d’Mapping vum Server restauréiert d’Clientadress. Zwee zoustänneg Iwwersetzunge mat Zoustand hannereneen sinn normal a machbar, wann béid festgehal ginn; de Router brauch ni eng Route op de Pool, an dat ass de Reiz vun dëser Uerdnung.

Get-RemoteAccess | Select-Object VpnS2SInterface, RoutingDomain
Get-NetNat | Select-Object Name, InternalIPInterfaceAddressPrefix

Benotzt dës Liesungen, fir ze gesinn, wat de Server schonn huet, amplaz unzehuelen, datt en NAT do ass. Eng Linux-Masquerade-Regel, déi aus engem Blog kopéiert gouf, ass keng Windows-Konfiguratioun, an eng Erlaabnes an der Hostfirewall fir de VPN-Lauschterer ass net déiselwecht Politik wéi d’Erlaabnes, d’Ufro vun engem Client virun ze leeden. Bestätegt d’Viruleedungsroll vum Server iwwer seng eegen Administratiounssurface, a kuckt dann d’Iwwersetzung getrennt, well déi zwee dacks vun ënnerschiddlechen Deeler vun enger Asetzung ageschalt ginn.

Optioun B: de Pool op de Router bréngen

An der zweeter Uerdnung leet de Server déi richteg Quelladress vum Client virun, an de Router iwwersetzt se. Dat hält de Clientpool um Rand sichtbar, wat hëlleft, wann de Router de Plaz ass, wou Trafficpolitik, Logging oder Inspektioun wunnen. Et bedeit och, datt de Router eng Réckroute fir 10.70.0.0/24 brauch, déi op 172.16.40.10 weist, plus eng Internetpolitik, déi dee Präfix wierklech enthält; eng Regel, déi fir den LAN-Subnetz geschriwwen ass, erweidert sech net stëll op de Pool.

Wielt dëst, wann den Randapparat de geduechten Politikbesëtzer ass an nach e Präfix a senge Routing- an Iwwersetzungstabellen akzeptéieren kann. Wielt d’Iwwersetzung op der Serversäit, wann de Pool uewen onsichtbar bleiwe soll an de Router net vum selwechten Team administréiert gëtt. Keng vun den zwou Optiounen ass duerch eng Këscht um Client implizéiert, an keng ass allgemeng sécherer; se setzen d’Sichtbarkeet an d’Ënnerhalt op verschidde Plazen.

Maacht DNS, IPv6 an d’Akzeptanz explizit

Adressiwwersetzung reparéiert d’Nimmopléisung net. De Client kann en Opléiser benotzen, dee mam VPN-Profil geliwwert gëtt, en private Opléiser fir bestëmmt Nummraim oder een ugoodenen ëffentlechen, an en net erreechbaren Opléiser ënner där Politik wäert weider versoen, nodeems d’Routing funktionéiert. Test en Numm an eng Adress getrennt, sou datt déi zwee Feeler ni an engem Rapport verschmëlzen.

IPv6 brauch säin eegene Paragraf am Design. Eng funktionéierend IPv4-Iwwersetzung seet näischt doriwwer, ob IPv6-Clients eng Route, eng gülteg ëffentlech Quell oder eng Politik hunn, déi se blockéiert, wann den Tunnel fält. Dat ongesot ze loossen heescht, datt d’Halschent vun de Clients de Gateway stëll ëmgeet, während déi aner Halschent funktionéiert.

Fir d’Akzeptanz verfollegt eng erlaabten Ufro vum Client an hir Äntwert iwwer béid Grenzen, a schreift op, wéi eng Adress all Grenz an deem Moment gesi soll. Dee festgehalene Rekord mécht déi nächst Poolännerung zu enger fënnef-Minutte-Bearbechtung amplaz vun enger Diskussioun doriwwer, wien déi feelend Réckroute huet. Hält de Rekord beim Clientprofil a net an engem Ticket, well de Profil dat ass, wat den nächsten Ingenieur als éischt fënnt.