Divas vietas, viens apakštīkls: katrai izveidojiet aizstājvārda skatu

Divas klientu vietas abas izmanto 192.168.50.0/24, un attālinātam inženierim katrā jāsasniedz printeris tajā pašā adresē. Neviens maršrutēšanas triks šo neskaidrību pats par sevi neatrisina. Katrai vietai vajadzīgs atsevišķs adrešu skats, un vārtejai ir jāizvēlas vieta no šī skata, pirms tā kaut ko pārsūta.

Plānam ir četras daļas: aizstājvārdu prefiksi, abi tulkošanas virzieni, pārklājuma politika un nosaukumi. Katrai jāsaskan ar pārējām.

Izvēlieties vienu aizstājvārda prefiksu katrai vietai

Piešķiriet katrai vietai visu aizstājvārda prefiksu, kas vidē nepieder nevienam citam. Divu vietu plāns var kartēt A vietas 192.168.50.0/24 uz 172.21.10.0/24 un B vietas identisko LAN uz 172.21.20.0/24. Pārbaudiet kandidātus pret katru iesaistīto tīklu, tostarp mākoņa VPC un citiem VPN baseiniem. Privāto adrešu telpu dala katra organizācija, tāpēc tas, ka diapazons ir RFC 1918, neko nepasaka par tā brīvību šeit.

Publicējiet aizstājvārdu, nevis sākotnējo apakštīklu, attālinātiem lietotājiem. Sākotnējais diapazons paliek vietējs fakts.

Tulkojiet abos virzienos

Tulkojiet abos virzienos. Galamērķa kartēšana pārraksta aizstājvārda adresi uz sākotnējo adresi vietā, kurai tā pieder. Avota kartēšana pārraksta attālināto zvanītāju uz aizstājvārdu, ko citas vietas var atšķirt.

Statiskā viens-pret-viens kartēšana ir determinēta, un tas nepadara ieviešanu bez stāvokļa. Apgrieztais tulkojums var būt atkarīgs no savienojuma stāvokļa, un pāreja uz rezervi vai asimetriski ceļi var salauzt plānu, kas to ignorē. Platformas dokumentācija nosaka, kurš no šiem gadījumiem attiecas.

Precīzais posms, kurā piemēro politiku, selektorus un maršrutus, atšķiras starp uz politiku balstītu IPsec, uz maršrutiem balstītiem tuneļiem un citiem produktiem. Projektējiet tam, ko izmantojat.

Izvediet plānu cauri pārklājumam

Koncentratorā piešķiriet katru aizstājvārda prefiksu tās vietas ceļam, kurai tas pieder, un atļaujiet tikai to tranzītu, kas vajadzīgs uzdevumam. Tīklā katram attiecīgajam vienaudzim vajadzīgs tas pats prefikss un politikas zināšanas. Tuneļu pievienošana pati par sevi neizlabo neskaidru adresāciju.

Visa apakštīkla publicēšana ir plašāka nekā viena pakalpojuma publicēšana. Ja vajag tikai dažas mašīnas vai portus, turiet piekļuves noteikumus šaurākus par kartēšanu.

Galvenes tulkojums nepārraksta lietojumprogrammas lietderīgo slodzi. Pāradresācijas, konfigurācijas failos iegultās adreses un uz avotu balstītas atļaujas joprojām var pārnēsāt sākotnējo adresi. Pārbaudiet lietojumprogrammas ceļu, ne tikai ping. Strādājoša ICMP atbilde pierāda, ka kartēšana pastāv, un neko nepasaka par to, vai lietojumprogramma pieņem aizstājvārdu.

Izlabojiet nosaukumus, ko redz katrs zvanītājs

Dodiet uzturēšanas nosaukumiem atbildes, kas atbilst zvanītāja skatam. Ja attālinātais inženieris atrisina resursdatora nosaukumu, tam jāatgriež tās vietas aizstājvārda adrese, nevis kopīgais sākotnējais diapazons.

Pārbaudiet DNS skatus katrā vietā pirms pirmā uzturēšanas loga. Nosaukums, kas atrisinās uz sākotnējo apakštīklu, nosūta zvanītāju atpakaļ tajā neskaidrībā, kuru plānam bija jānovērš.

Reģistrējiet un pārbaudiet katrā vietā

Pieņemiet katru vietu atsevišķi no īsta zvanītāja un apstipriniet, kura mašīna atbildēja. Reģistrējiet sākotnējo adresi, aizstājvārdu, to īpašnieku vārteju un atļauto pakalpojumu kopā.

Tieši šis uzskaitījums saglabā atšķirību, kad ierodas trešā vieta ar to pašu noklusējuma LAN. Uz politiku balstītā IPsec NAT rokasgrāmata dokumentē vienu konkrētu tulkošanas modeli; tā nav saistības katrai platformai.