Kad NAT vietņu savienojuma VPN iekšienē pelna savu vietu

Abas vietnes izmanto vienu un to pašu privāto diapazonu, un tunelis paceļas, kamēr nekas noderīgs tam cauri neiet. Tulkojums ir ierastā atbilde, un tā ir īsta atbilde: cita diapazona parādīšana attālajai pusei var atrisināt pārklāšanos vai atgriešanās ceļu, ko otra tīkls nevar maršrutēt. Izlaistā daļa ir tā, ka tulkojums maina adreses, ko redz katrs vēlākais lēmums. Uztveriet to kā dokumentētu dizaina lēmumu ar rakstisku kartējumu, nevis kā noteikumu, ko pievieno, līdz ping izdodas.

Izlemiet, kura adrese tiek pārrakstīta

Avota tulkojums maina to, ko attālais pakalpojums un tā žurnāli redz kā klientu, tāpēc filiāles resursdators ierašanās brīdī kļūst par vārtejas adresi. Galamērķa vai prefiksa tulkojums turpretī piedāvā alternatīvu adresi attālam resursam. Dažiem izvietojumiem ir vajadzīgs saskaņots tulkojums abās pusēs, lai atdalītu divus citādi identiskus tīklus, un tieši šajā kombinācijā sākas lielākā daļa apjukuma.

Pierakstiet avotu pirms tulkojuma, galamērķi tā, kā to nosauc lietojumprogramma, un adrešu pāri, ar ko saskan katra vārteja. Ar trim kolonnām pietiek, un trešā kolonna ir tā, ko cilvēki izlaiž.

Arī selektoru secībai ir nozīme. IPsec politikas izvēle un tulkojums notiek noteiktos posmos, tāpēc selektors, kas rakstīts adresēm pirms tulkojuma, var nekad nesakrist ar paketi tajā posmā, kuru pieņēmāt. Pārbaudiet instalēto politiku, nevis politiku, kuru bijāt iecerējis instalēt, jo abas atšķiras tieši tad, kad noteikumu pieņem viens komponents un cits to ignorē:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Sekojiet kravai un atgriešanās ceļam

Serveris, kas reģistrē tulkoto avotu, nevis atsevišķu filiāles resursdatoru, salauzīs jebkuru noteikumu vai pārskatu, kas piesaistīts sākotnējai adresei. Pirms mainīt kartējumu, noskaidrojiet, vai kaut kas lejup pa straumi pieņem lēmumu no šī lauka: piekļuves saraksti, audita pārskati, ātruma ierobežojumi, licences pārbaudes. Katrs no tiem ir vieta, kur tulkojums vēlāk parādās kā neizskaidrojama kļūme.

Protokoliem, kas nes adreses savā kravā, nepieciešama atsevišķa plānošana, jo ārējās galvenes pārrakstīšana neaizskar iekšējo atsauci. Aktīvais FTP, SIP un daži attālās piekļuves produkti ir klasiskie gadījumi, un dizains, kas tos ignorē, darbosies tīmekļa trafikam un neizdosies lietojumprogrammai, kurai bija nozīme.

Atgriešanās trafiks ir atkarīgs no kartējumiem ar stāvokli. Vārtejas pārslēgšanās var zaudēt šo stāvokli, asimetriskā maršrutēšana var to apiet, un restartēšana var to notīrīt, kamēr sesijas paliek atvērtas attālajā pusē. Tāpēc pieprasījums, kas sasniedz galamērķi, un sesija, kas tiek pabeigta, ir divi dažādi pieņemšanas rezultāti.

Nosveriet to pret vietnes pārnumurēšanu

Vienas konfliktējošas vietnes pārnumurēšana pilnībā novērš kartējumu un atstāj adrešu plānu, ko var lasīt bez tulkošanas tabulām. Tas ir operatīvi dārgi: DNS ierakstiem, statiskajiem piešķīrumiem, ugunsmūra noteikumiem un katrai dokumentētajai adresei jāmainās kopā. Izmaksas rodas vienreiz, plānotā logā, ar skaidru gala stāvokli. Tas, ko jūs pērkat, ir spēja pēc gadiem nolasīt pakešu ierakstu bez meklēšanas tabulas.

Tulkojums izvairās no lielākās daļas vietējo izmaiņu un rada kartējumu, kas mūžīgi jāuztur DNS, dokumentācijā un problēmu novēršanā. Izmaksas rodas nepārtraukti katra nākamā inženiera formā, kuram jāiemācās, ka viens prefikss tuneļa iekšienē nozīmē ko citu.

Pagaidu savienojumam vai partneru tīklam, ko neuzraugāt, pastāvīgās izmaksas parasti ir tā vērtas. Divām vietnēm, kas jums pieder un piederēs gadiem, pārnumurēšana bieži ir lētāks lēmums, ja migrācija tiek godīgi sarēķināta.

Pierādiet abus virzienus ar īstu sesiju

Pārbaudiet lietojumprogrammas sesiju, nevis vienu zondi. Veiksmīgs atbalss pieprasījums pierāda, ka darbojas viens viena protokola virziens, un tas pilnībā sader ar atgriešanās ceļu, kas neizdodas jebkam ar stāvokli. Izmantojiet pakalpojumu, kas rosināja dizainu, un nolasiet tā žurnālu attālajā galā, lai redzētu, kuru avota adresi tas reģistrēja.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Pēc tam apstipriniet, ka caur kartējumu ir pieejami tikai paredzētie pakalpojumi. Tulkojums maina adresāciju un neko nedara autorizācijai, tāpēc ugunsmūra politika joprojām nosaka, kas ir atļauts. Dizainam, kas paļaujas uz neskaidru tulkotu prefiksu kā savu piekļuves kontroli, vispār nav piekļuves kontroles.

Reģistrējiet kartējumu, pārbaudīto sesiju un adreses, ko novēroja katra puse. Nākamajam cilvēkam, kas atkļūdos šo tuneli, šie trīs fakti vajadzīgi vairāk nekā konfigurācijas fails.