Кога NAT внатре во VPN од локација до локација го заслужува своето место

Двете локации користат ист приватен опсег, и тунелот се крева додека ништо корисно не поминува низ него. Преводот е вообичаениот одговор, и тоа е вистински одговор: прикажувањето различен опсег на далечната страна може да реши преклопување или повратна патека што другата мрежа не може да ја рутира. Делот што се прескокнува е тоа што преводот ги менува адресите што ги гледа секоја подоцнежна одлука. Третирајте го како документирана дизајнерска одлука со напишано мапирање, а не како правило што се додава додека ping не успее.

Одлучете која адреса се препишува

Преводот на изворот менува што далечната услуга и нејзините дневници гледаат како клиент, така што домаќинот на огранокот при пристигнување станува адреса на порта. Преводот на дестинацијата или префиксот наместо тоа претставува алтернативна адреса за далечен ресурс. Некои распоредувања бараат координиран превод од двете страни за да се разделат две инаку идентични мрежи, и токму во комбинацијата започнува најголемиот дел од конфузијата.

Запишете го изворот пред преводот, дестинацијата како што ја нарекува апликацијата и парот адреси на кој се совпаѓа секоја порта. Три колони се доволни, а третата колона е онаа што луѓето ја испуштаат.

Редоследот на селекторите исто така е важен. Изборот и преводот на IPsec политиката се случуваат во дефинирани фази, така што селектор напишан за адреси пред преводот може никогаш да не се совпадне со пакетот во фазата што ја претпоставивте. Проверете ја инсталираната политика, а не политиката што сте имале намера да ја инсталирате, бидејќи двете се разидуваат точно кога правилото го прифаќа една компонента, а друга го игнорира:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Следете го товарот и повратната патека

Серверот што го евидентира преведениот извор наместо поединечниот домаќин на огранокот ќе скрши секое правило или извештај врзан за оригиналната адреса. Пред да го промените мапирањето, откријте дали нешто низводно одлучува врз основа на тоа поле: пристапни списоци, ревизорски извештаи, ограничувања на брзина, проверки на лиценца. Секое од нив е место каде преводот подоцна се појавува како необјаснет дефект.

Протоколите што носат адреси во својот товар бараат посебно планирање, бидејќи препишувањето на надворешната заглавје не ја допира внатрешната референца. Активниот FTP, SIP и некои производи за далечински пристап се класични случаи, и дизајнот што ги игнорира ќе работи за веб сообраќај и ќе потфрли за апликацијата што била важна.

Повратниот сообраќај зависи од мапирања со состојба. Префрлувањето на портата може да ја изгуби таа состојба, асиметричното рутирање може да го заобиколи, а рестартирањето може да го исчисти додека сесиите остануваат отворени на далечната страна. Затоа барањето што стигнува до дестинацијата и сесијата што се комплетира се два различни резултати на прифаќање.

Измерете го против пренумерирање на локација

Пренумерирањето на една конфликтна локација целосно го отстранува мапирањето и остава план на адреси што може да се чита без табели за превод. Тоа е оперативно скапо: DNS записите, статичните доделувања, правилата на огнениот ѕид и секоја документирана адреса мора да се променат заедно. Трошокот доаѓа еднаш, во планиран прозорец, со јасна завршна состојба. Она што го купувате е способноста да прочитате снимање на пакети години подоцна без табела за пребарување.

Преводот ги избегнува повеќето локални промени и создава мапирање што мора засекогаш да се одржува во DNS, документација и решавање проблеми. Трошокот доаѓа постојано, во форма на секој иден инженер што мора да научи дека еден префикс внатре во тунелот значи нешто друго.

За привремена врска или партнерска мрежа што не ја контролирате, постојаниот трошок обично се исплати. За две локации што ги поседувате и ќе ги поседувате со години, пренумерирањето често е поевтина одлука кога миграцијата се смета чесно.

Докажете ги двете насоки со вистинска сесија

Тестирајте апликациска сесија наместо една сонда. Успешното барање за ехо докажува дека една насока на еден протокол работи, и целосно е компатибилно со повратна патека што потфрлува за сето она што има состојба. Користете ја услугата што го поттикна дизајнот, и прочитајте го нејзиниот дневник на далечниот крај за да видите која изворна адреса ја запишала.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Потоа потврдете дека преку мапирањето се достапни само предвидените услуги. Преводот го менува адресирањето и не прави ништо за авторизацијата, така што политиката на огнениот ѕид се уште одлучува што е дозволено. Дизајнот што се потпира на нејасен преведен префикс како своја контрола на пристап воопшто нема контрола на пристап.

Запишете го мапирањето, тестираната сесија и адресите што ги набљудувала секоја страна. На следниот човек што ќе го дебагира овој тунел тие три факти му се потребни повеќе од конфигурациската датотека.