Kada NAT svetainių tarpusavio VPN viduje nusipelno savo vietos

Dvi svetainės abi naudoja tą patį privatų diapazoną, ir tunelis pakyla, nors pro jį neina nieko naudingo. Vertimas yra įprastas atsakymas, ir tai tikras atsakymas: kito diapazono pateikimas tolimajai pusei gali išspręsti persidengimą arba grįžimo kelią, kurio kita tinklas negali maršrutizuoti. Praleidžiama dalis yra ta, kad vertimas keičia adresus, kuriuos mato kiekvienas vėlesnis sprendimas. Traktuokite tai kaip dokumentuotą dizaino sprendimą su rašytiniu susiejimu, o ne kaip taisyklę, pridedamą tol, kol ping pavyksta.

Nuspręskite, kuris adresas perrašomas

Šaltinio vertimas keičia tai, ką tolimoji paslauga ir jos žurnalai mato kaip klientą, todėl filialo hostas atvykus tampa šliuzo adresu. Paskirties arba prefikso vertimas vietoj to pateikia alternatyvų adresą tolimam ištekliui. Kai kurie diegimai reikalauja suderinto vertimo abiejose pusėse, kad atskirtų du kitaip identiškus tinklus, ir būtent šiame derinyje prasideda didžioji dalis sumaišties.

Užrašykite šaltinį prieš vertimą, paskirties vietą taip, kaip ją vadina programa, ir adresų porą, kurią atitinka kiekvienas šliuzas. Trijų stulpelių pakanka, o trečiasis stulpelis yra tas, kurį žmonės praleidžia.

Selektorių tvarka taip pat svarbi. IPsec politikos parinkimas ir vertimas vyksta apibrėžtuose etapuose, todėl selektorius, parašytas adresams prieš vertimą, gali niekada neatitikti paketo tame etape, kurį numatėte. Tikrinkite įdiegtą politiką, o ne tą, kurią ketinote įdiegti, nes abi išsiskiria būtent tada, kai taisyklę priima vienas komponentas, o kitas jos nepaiso:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Sekite naudingąją apkrovą ir grįžimo kelią

Serveris, kuris registruoja išverstą šaltinį, o ne atskirą filialo hostą, sugadins bet kurią taisyklę ar ataskaitą, susietą su pradiniu adresu. Prieš keisdami susiejimą, išsiaiškinkite, ar kas nors pasroviui priima sprendimą pagal tą lauką: prieigos sąrašai, audito ataskaitos, spartos ribos, licencijų patikros. Kiekviena jų yra vieta, kur vertimas vėliau pasirodo kaip nepaaiškinamas gedimas.

Protokolams, kurie nešiojasi adresus savo naudingojoje apkrovoje, reikia atskiro planavimo, nes išorinės antraštės perrašymas neliečia vidinės nuorodos. Aktyvusis FTP, SIP ir kai kurie nuotolinės prieigos produktai yra klasikiniai atvejai, o dizainas, kuris jų nepaiso, veiks žiniatinklio srautui ir nepavyks taikomajai programai, kuri buvo svarbi.

Grįžimo srautas priklauso nuo susietų būsenų. Šliuzo perjungimas gali prarasti tą būseną, asimetrinis maršrutizavimas gali ją apeiti, o paleidimas iš naujo gali ją išvalyti, kol sesijos lieka atviros tolimojoje pusėje. Todėl užklausa, kuri pasiekia paskirties vietą, ir sesija, kuri baigiama, yra du skirtingi priėmimo rezultatai.

Pasverkite tai prieš svetainės pernumeravimą

Vienos konfliktuojančios svetainės pernumeravimas visiškai pašalina susiejimą ir palieka adresų planą, kurį galima skaityti be vertimo lentelių. Tai brangu operacine prasme: DNS įrašai, statiniai priskyrimai, ugniasienės taisyklės ir kiekvienas dokumentuotas adresas turi keistis kartu. Išlaidos patiriamos vieną kartą, suplanuotame lange, su aiškia galutine būsena. Tai, ką perkate, yra galimybė po metų perskaityti paketų įrašą be paieškos lentelės.

Vertimas išvengia daugumos vietinių pakeitimų ir sukuria susiejimą, kurį reikia amžinai prižiūrėti DNS, dokumentacijoje ir trikčių šalinime. Išlaidos patiriamos nuolat, kiekvieno būsimo inžinieriaus, kuris turi išmokti, kad vienas prefiksas tunelio viduje reiškia ką kita, pavidalu.

Laikinam ryšiui ar partnerių tinklui, kurio nekontroliuojate, nuolatinės išlaidos paprastai apsimoka. Dviejų svetainių, kurias valdote ir valdysite metų metus, atveju pernumeravimas dažnai yra pigesnis sprendimas, kai migracija apskaičiuojama sąžiningai.

Įrodykite abi kryptis tikra sesija

Bandykite programos sesiją, o ne vieną zondą. Sėkminga aido užklausa įrodo, kad viena vieno protokolo kryptis veikia, ir ji visiškai suderinama su grįžimo keliu, kuris nepavyksta viskam, kas turi būseną. Naudokite paslaugą, kuri paskatino dizainą, ir perskaitykite jos žurnalą tolimajame gale, kad pamatytumėte, kurį šaltinio adresą ji įrašė.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Tada patvirtinkite, kad per susiejimą pasiekiamos tik numatytos paslaugos. Vertimas keičia adresavimą ir nieko nedaro autorizacijai, todėl ugniasienės politika vis dar sprendžia, kas leidžiama. Dizainas, kuris remiasi neaiškiu išverstu prefiksu kaip prieigos kontrole, visiškai neturi prieigos kontrolės.

Užregistruokite susiejimą, išbandytą sesiją ir adresus, kuriuos stebėjo kiekviena pusė. Kitam žmogui, kuris derins šį tunelį, tų trijų faktų reikia labiau nei konfigūracijos failo.