D'selwecht Subnetz op béiden Enner: kartéiert de wäite LAN op e fräie Beräich

D'Heem an d'Büro lafen allebéid 192.168.1.0/24, dofir huet eng Ufro un 192.168.1.1 zwee méiglech Äntwerten an de Client wielt engt ouni ze froen. Eng funktionéierend Büro-Netz ëmzenummeréieren ass selten beléift, an d'Routeradressen sinn dacks a Printeren, Kameraen an Dokumenter agebaut. D'Adresskartéierung op der Client-Säit kann de wäite Reseau amplaz ënner engem fräie Beräich duerstellen, an den Hostdeel ka gläich bleiwen, sou datt 192.168.1.20 als 10.203.41.20 erschéngt. De Knach ass, datt nëmme verschidde Cliente se ëmsetzen, an datt se fir de Réckwee näischt mécht.

Zwee Usiichten op de selwechten Host

D'Kartéierung hält den Hostdeel a ännert nëmmen den Netzdeel. Déiselwecht Maschinn äntwert dann op zwou Adressen je nodeem wou dir stitt. Béid Kolonnen opschreiwen ier dir eppes konfiguréiert verhënnert e spéidert Falschliese vu Loggen a Firewall-Regelen.

Lokal Geräter doheem behalen hir eege 192.168.1.x-Adressen, an dat ass de Punkt vun der Übung. De Printer am Nopeschraum bleift erreechbar, während d'Büro ënner engem Beräich erschéngt, deen net kollidéiert.

D'Reiefolleg vun den Argumenter ass de ganzen Trick

D'Optioun hëlt eng Richtung, e Netz a Mask, an en Alias: dat éischt Netz ass dat wat de Client gesäit, den Alias ass dat wat de Server gesäit. Fir Ressourcen déi hannert dem wäite Gateway liewen, ass d'Richtung d'Destinatiounsform. Déi zwee Netzer ëmdréien well dat lescht Argument Alias heescht, ass de Feeler deen en Tunnel erstellt deen sech verbënnt an näischt kartéiert.

push "route 10.203.41.0 255.255.255.0"
push "client-nat dnat 10.203.41.0 255.255.255.0 192.168.1.0"

D'Route ass dat wat d'Pakete vum Client fir den neie Beräich an den Tunnel schéckt; d'Iwwersetzung schreift d'Destinatioun ënnerwee ëm. Eng Äntwert vun 192.168.1.20 gëtt zréck op 10.203.41.20 geschriwwen, sou datt de Socket um Client konsequent bleift. Een eenzegen Host funktionéiert d'selwecht mat enger Mask vun der ganzer Längt, soulaang d'Route an d'Kartéierung déiselwecht Adress beschreiwen.

Dëst ass eng Adresskartéierung, keng Portkartéierung. Zwee Servicer op engem Host kënnen domat net getrennt ginn, an e Protokoll deen IP-Adressen a sengem Payload abaut wäert nach ëmmer déi richteg gesinn.

D'Kartéierung erstellt kee Réckwee

D'Iwwersetzung geschitt um Client, dofir muss de Server nach ëmmer Äntwerten an den Tunnel routen a seng Firewall muss se nach ëmmer erlaben. Wann de wäite Gateway net weess wéi en den Tunnel-Subnetz erreecht, kënnt d'Ufro un an d'Äntwert geet duerch déi falsch Dier eraus; d'Kartéierung léisst de Feeler just wéi e Clientproblem ausgesinn.

Regelen op der Server-Säit sollten d'Adressen beschreiwen déi no der Iwwersetzung um Server existéieren, net de Beräich deen de Client gesäit. Den Alias an eng Erlaabnes-Regel kopéieren verschwënnt en Nomëtteg, well kee Paket op där Säit en dréit.

Wielt en Aliasberäich deen net mat eppes anescht kollidéiert wat de Client routet: eng aner VPN, en Container-Netz, en zweet Büro. Eng Kollisioun hei bréngt déi ursprénglech Zweedeitegkeet ënner enger anerer Nummer zréck an ass méi schwéier ze gesinn well d'Adressen onbekannt ausgesinn.

Nimm a Payloaden iwwerliewen d'Iwwersetzung

En Hostnumm deen op déi richteg 192.168.1.20 opléist schéckt de Browser op dat lokal Gerät amplaz op dat wäit, egal wat d'Routingtabell seet. D'Äntwert vum private DNS muss op de Beräich weisen deen de Client gesäit, während den TLS-Zertifikat nach ëmmer den Numm dréit deen d'Applikatioun erwaart. Test mat dem Numm amplaz mat der Adress, well d'Adress ka funktionéieren während den Numm stëll an déi falsch Richtung opléist. Wann de wäite Gateway och déi Zone servéiert, brauchen seng eege Rekorder och de Beräich deen de Client gesäit.

Ëmleedungen, agebaut URLen an Applikatiounen déi hir eege Adress an engem Payload ausginn kënnen op Manéieren briechen déi keng Paketkartéierung reparéiere kann. Behandelt se als Applikatiounsproblem a moosst den Asaz entspriechend ier dir verspriecht datt Ëmnummeréiere net néideg ass.

Dräi Kontrollen ier dir iech engagéiert

Éischtens, bestätegt d'Client-Implementéierung. Community OpenVPN ënnerstëtzt dës Optioun; d'OpenVPN 3-Codebasis féiert se ënner den net-ënnerstëtzten Funktiounen, dofir kann e Profil deen un e Client am Connect-Stil gedréckt gëtt se einfach ignoréieren. Eng Direktiv déi ugeholl a ni ugewannt gëtt ass schlëmmer wéi e Feeler, well den Tunnel gesond ausgesäit.

Zweetens, iwwerpréift d'Route an d'Iwwersetzung getrennt mat engem kuerzen Diagnosefënster bei héijer Detailer, an test dann de richtege Service amplaz vun engem Ping. Drëttens, bestätegt datt de lokale Router an déi wäit Ressource vum Client ënnerscheedbar bleiwen, well dat dat ursprénglecht Zil war.

Wann de Client d'Iwwersetzung net kann, frot d'Gateway-Säit ëm Hëllef oder akzeptéiert eng Ëmnummeréierung. Méi Routen fir déiselwecht Adress bäisetzen ass keen Design.