Dvi vietovės, vienas potinklis: kiekvienai sukurkite slapyvardžio rodinį

Dvi klientų vietovės abi naudoja 192.168.50.0/24, o nuotolinis inžinierius kiekvienoje turi pasiekti spausdintuvą tuo pačiu adresu. Joks maršrutizavimo triukas savarankiškai neišsprendžia šio dviprasmiškumo. Kiekvienai vietovei reikia atskiro adresų rodinio, o tinklų sietuvas turi pasirinkti vietovę iš to rodinio prieš ką nors persiųsdamas.

Planas turi keturias dalis: slapyvardžių priešdėlius, abi vertimo kryptis, perdangos politiką ir vardus. Kiekviena turi derėti su kitomis.

Pasirinkite vieną slapyvardžio priešdėlį kiekvienai vietovei

Kiekvienai vietovei priskirkite visą slapyvardžio priešdėlį, kuris aplinkoje nepriklauso niekam kitam. Dviejų vietovių planas gali susieti A vietovės 192.168.50.0/24 su 172.21.10.0/24, o B vietovės identišką LAN su 172.21.20.0/24. Patikrinkite kandidatus su kiekvienu dalyvaujančiu tinklu, įskaitant debesijos VPC ir kitus VPN telkinius. Privatų adresų erdvę dalijasi kiekviena organizacija, todėl tai, kad diapazonas priklauso RFC 1918, nieko nesako apie jo laisvumą čia.

Nuotoliniams naudotojams skelbkite slapyvardį, o ne pirminį potinklį. Pirminis diapazonas lieka vietiniu faktu.

Verskite abiem kryptimis

Verskite abiem kryptimis. Paskirties atvaizdavimas perrašo slapyvardžio adresą į pirminį adresą vietovėje, kuri jį valdo. Šaltinio atvaizdavimas perrašo nuotolinį skambintoją į slapyvardį, kurį kitos vietovės gali atskirti.

Statinis vienas-su-vienu atvaizdavimas yra deterministinis, ir tai nepadaro įgyvendinimo be būsenos. Atvirkštinis vertimas gali priklausyti nuo ryšio būsenos, o perėjimas į atsarginį režimą ar asimetriniai keliai gali sugriauti planą, kuris to nepaiso. Platformos dokumentacija nusprendžia, kuris iš šių atvejų taikomas.

Tikslus etapas, kuriame taikoma politika, selektoriai ir maršrutai, skiriasi tarp politika pagrįsto IPsec, maršrutais pagrįstų tunelių ir kitų produktų. Projektuokite tam, ką naudojate.

Perveskite planą per perdangą

Koncentratoriuje kiekvieną slapyvardžio priešdėlį priskirkite jį valdančiam vietovės keliui ir leiskite tik tą tranzitą, kurio reikia užduočiai. Tinkle kiekvienas susijęs mazgas turi turėti tą patį priešdėlį ir politikos žinių. Tunelių pridėjimas savarankiškai neištaiso dviprasmiško adresavimo.

Viso potinklio skelbimas yra platesnis nei vienos paslaugos skelbimas. Jei reikia tik kelių mašinų ar prievadų, laikykite prieigos taisykles siauresnes už atvaizdavimą.

Antraštės vertimas neperrašo programos naudingosios apkrovos. Peradresavimai, konfigūracijos failuose įterpti adresai ir šaltiniu pagrįsti leidimai vis dar gali perduoti pirminį adresą. Testuokite programos kelią, o ne tik ping. Veikiantis ICMP atsakymas įrodo, kad atvaizdavimas egzistuoja, ir nieko nesako apie tai, ar programa priima slapyvardį.

Ištaisykite vardus, kuriuos mato kiekvienas skambintojas

Suteikite techninės priežiūros vardams atsakymus, atitinkančius skambintojo rodinį. Jei nuotolinis inžinierius išsprendžia mazgo vardą, jis turėtų grąžinti tos vietovės slapyvardžio adresą, o ne bendrą pirminį diapazoną.

Patikrinkite DNS rodinius kiekvienoje vietovėje prieš pirmąjį techninės priežiūros langą. Vardas, kuris išsprendžiamas į pirminį potinklį, nukreipia skambintoją atgal į dviprasmiškumą, kurį planas turėjo pašalinti.

Užfiksuokite ir patikrinkite kiekvienoje vietovėje

Priimkite kiekvieną vietovę atskirai iš tikro skambintojo ir patvirtinkite, kuri mašina atsakė. Užfiksuokite pirminį adresą, slapyvardį, jį valdantį tinklų sietuvą ir leidžiamą paslaugą kartu.

Būtent šis inventorius išsaugo skirtumą, kai atvyksta trečioji vietovė su tuo pačiu numatytuoju LAN. Politika pagrįsto IPsec NAT vadovas dokumentuoja vieną konkretų vertimo modelį; tai nėra sutartis kiekvienai platformai.