Две локации, една подмрежа: изградете посебен приказ со псевдоним за секоја

Две клиентски локации ја користат 192.168.50.0/24, а далечински инженер мора да стигне до печатач на истата адреса во секоја од нив. Ниту еден трик за рутирање не ја решава таа двосмисленост сам по себе. Секоја локација бара посебен приказ на адреси, а портата мора да ја избере локацијата од тој приказ пред да проследи нешто.

Планот има четири дела: префикси за псевдоними, двете насоки на превод, политика на преклопување и имиња. Секој мора да се согласува со другите.

Изберете еден префикс за псевдоним по локација

Доделете на секоја локација целосен префикс за псевдоним што не припаѓа на никој друг во околината. План за две локации може да го преслика 192.168.50.0/24 на локацијата A на 172.21.10.0/24, а идентичната LAN на локацијата B на 172.21.20.0/24. Проверете ги кандидатите против секоја вклучена мрежа, вклучително облачни VPC и други VPN базени. Приватниот адресен простор го делат сите организации, така што тоа што опсегот е RFC 1918 не кажува ништо за тоа дали е слободен овде.

Објавете го псевдонимот, а не изворната подмрежа, на далечинските корисници. Изворниот опсег останува локален факт.

Преведувајте во двете насоки

Преведувајте во двете насоки. Мапирањето на одредиштето ја препишува адресата на псевдонимот во изворната адреса на локацијата што ја поседува. Мапирањето на изворот го препишува далечинскиот повикувач во псевдоним што другите локации можат да го разликуваат.

Статичкото мапирање еден-на-еден е детерминистичко и тоа не ја прави имплементацијата без состојба. Обратниот превод може да зависи од состојбата на врската, а префрлувањето при дефект или асиметричните патеки можат да го скршат планот што го игнорира тоа. Документацијата на платформата одлучува кој од овие се применува.

Точната фаза во која се применуваат политиката, селекторите и рутите се разликува меѓу IPsec заснован на политики, тунели засновани на рути и други производи. Дизајнирајте за оној што го извршувате.

Проведете го планот низ преклопот

Во центар, доделете го секој префикс за псевдоним на патеката на локацијата што го поседува и дозволете само транзитот што му е потребен на задачата. Во мрежа, секој релевантен партнер бара истиот префикс и познавање на политиката. Додавањето тунели не ја поправа двосмислената адресација само по себе.

Објавувањето на целата подмрежа е пошироко од објавувањето на една услуга. Ако се потребни само неколку машини или порти, држете ги правилата за пристап потесни од мапирањето.

Преводот на заглавието не ја препишува корисната содржина на апликацијата. Пренасочувањата, вградените адреси во конфигурациските датотеки и дозволите засновани на изворот и понатаму можат да ја носат изворната адреса. Тестирајте ја патеката на апликацијата, не само ping. Работечкиот ICMP одговор докажува дека мапирањето постои и не кажува ништо за тоа дали апликацијата го прифаќа псевдонимот.

Поправете ги имињата што ги гледа секој повикувач

Дајте им на имињата за одржување одговори што се совпаѓаат со приказот на повикувачот. Ако далечинскиот инженер реши име на домаќин, треба да ја врати адресата на псевдонимот за таа локација, а не заедничкиот изворен опсег.

Проверете ги DNS приказите по локација пред првиот прозорец за одржување. Име што се решава во изворната подмрежа го враќа повикувачот во двосмисленоста што планот требаше да ја отстрани.

Запишете и потврдете по локација

Прифатете ја секоја локација одделно од вистински повикувач и потврдете која машина одговори. Запишете ги заедно изворната адреса, псевдонимот, портата што го поседува и дозволената услуга.

Токму тој инвентар ја сочувува разликата кога ќе дојде трета локација со истата стандардна LAN. Водичот за IPsec NAT заснован на политики документира еден конкретен модел на превод; тој не е договор за секоја платформа.