NAT VPN സെർവറിലോ റൗട്ടറിലോ? രണ്ടും പ്രവർത്തിക്കാം

ലാപ്ടോപ്പിൽ ഒരു കണക്ഷനെ ഡിഫോൾട്ട് റൂട്ടായി അടയാളപ്പെടുത്തുന്നത് എല്ലാവരും ഓർക്കുന്ന ഘട്ടമാണ്, ഗേറ്റ്വേയിൽ ഒന്നും മാറ്റാത്തതും അതുതന്നെ. ക്ലയന്റ് ഇപ്പോൾ ഇന്റർനെറ്റ് അഭ്യർത്ഥനകൾ ടണലിലേക്ക് അയയ്ക്കുന്നു; അവ കെട്ടിടം വിടുമോ എന്നത് ഫോർവേഡിംഗ്, ഒരു വിവർത്തന ബിന്ദു, ക്ലയന്റിന്റെ സ്വകാര്യ വിലാസത്തിൽ എത്തുന്ന ഒരു തിരിച്ചുവരവ് പാത എന്നിവയെ ആശ്രയിച്ചിരിക്കുന്നു. രണ്ട് ക്രമീകരണങ്ങൾക്ക് മൂന്നും നൽകാനാകും, അവ ജോലി വ്യത്യസ്ത സ്ഥലങ്ങളിൽ ഇടുന്നു, ആരും മറുപടിയുടെ ദിശയുടെ ഉത്തരവാദിത്തം ഏൽക്കാത്തപ്പോൾ രണ്ടും ഒരേ നിശബ്ദ രീതിയിൽ പരാജയപ്പെടുന്നു. അവയ്ക്കിടയിൽ തിരഞ്ഞെടുക്കുന്നത് ക്ലയന്റ് പൂൾ ആരു കാണണം എന്ന ചോദ്യമാണ്.

മിത്ത്: ക്ലയന്റ് റൂട്ട് തന്നെയാണ് പുറത്തേക്കുള്ള വഴി നിർമ്മിക്കുന്നത്

നിർബന്ധിത ടണലിംഗ് ക്ലയന്റ് ഭാഗത്തെ ഒരു നയമാണ്: ട്രാഫിക് ഫിസിക്കൽ അഡാപ്റ്ററിലേക്കല്ല, VPN അഡാപ്റ്ററിലേക്ക് പോകണമെന്ന് അത് തീരുമാനിക്കുന്നു. Microsoft-ന്റെ VPN റൂട്ടിംഗ് ഡോക്യുമെന്റേഷൻ ആ വിഭജനത്തെയും നിർബന്ധിത സ്വഭാവത്തെയും വിവരിക്കുന്നു, അത് ക്ലയന്റിന്റെ റൂട്ട് പട്ടികയെക്കുറിച്ചുള്ള പ്രസ്താവനയാണ്, സെർവറിന്റെ ഫോർവേഡിംഗ് നിയമങ്ങളെക്കുറിച്ചല്ല. ക്ലയന്റിന്റെ കാഴ്ചപ്പാടിൽ ടണൽ ഇന്റർനെറ്റ് വസിക്കുന്ന സ്ഥലമാണ്; ഗേറ്റ്വേയുടെ കാഴ്ചപ്പാടിൽ ഒരു പാക്കറ്റ് മുകളിൽ ആരും കേട്ടിട്ടില്ലാത്ത ഒരു വിലാസത്തിൽ നിന്ന് എത്തി. ഏതു ഭാഗവും ഒറ്റയ്ക്ക് തെറ്റായി കോൺഫിഗർ ചെയ്തിട്ടില്ല, അതുകൊണ്ടാണ് ലാപ്ടോപ്പിനരികിലുള്ള വ്യക്തിക്ക് ഈ പരാജയം കേടായ സെർവർ പോലെ തോന്നുന്നത്.

ആ പൊരുത്തക്കേടാണ് ഈ ലേഖനത്തിന്റെ ബാക്കി പരിഹരിക്കുന്ന മുഴുവൻ പ്രശ്നം. എന്തെങ്കിലും ക്ലയന്റിന്റെ സ്വകാര്യ വിലാസത്തെ തിരികെ നൽകാവുന്നതാക്കണം, തിരഞ്ഞെടുപ്പ് എവിടെ എന്നതാണ്.

ആദ്യം മറുപടിയുടെ പാത വരയ്ക്കുക

ഏതെങ്കിലും ക്രമീകരണത്തിൽ സ്പർശിക്കുന്നതിന് മുമ്പ് യഥാർത്ഥ വിലാസങ്ങളോടെ പാത എഴുതുക, അതിൽ രണ്ട് സാധ്യമായ വിവർത്തന ബിന്ദുക്കൾ അടയാളപ്പെടുത്തുക. ഈ ലാബ് 10.70.0.0/24 എന്ന VPN പൂൾ ഉപയോഗിക്കുന്നു, അതിൽ ഒരു ക്ലയന്റ് 10.70.0.37-ൽ, സെർവറിന്റെ LAN വിലാസം 172.16.40.10, റൗട്ടർ 172.16.40.1-ൽ, പൊതു എക്സിറ്റ് 203.0.113.40-ൽ എന്നിവയാണ്.

client 10.70.0.37 -- tunnel --> RRAS 172.16.40.10 -- LAN --> router 172.16.40.1 --> 203.0.113.40
                                  (translate here?)                             (or here?)

ഇതിനകം ഇന്റർനെറ്റ് ബ്രൗസ് ചെയ്യുന്ന സെർവർ സ്വന്തം പാത മാത്രം തെളിയിക്കുന്നു. ക്ലയന്റിന്റെ പേരിൽ ഫോർവേഡ് ചെയ്യുന്ന പാക്കറ്റ് മറ്റൊരു തീരുമാനമാണ്, അതേ യന്ത്രത്തിലെ ഫോർവേഡിംഗ് നയം എടുക്കുന്നത്, സാധാരണയായി അതാണ് കാണാത്തത്. ഡയഗ്രാമിൽ മൂന്ന് തീരുമാന ബിന്ദുക്കൾ അടയാളപ്പെടുത്തുന്നത് സംഭാഷണത്തെ ഒരു സമയത്ത് അവയിലൊന്നിൽ നിർത്തുന്നു.

ഓപ്ഷൻ A: VPN സെർവറിൽ വിവർത്തനം

ഇവിടെ സെർവർ പാക്കറ്റ് റൗട്ടറിന് നൽകുന്നതിന് മുമ്പ് ക്ലയന്റിന്റെ ഉറവിടം സ്വന്തം LAN വിലാസത്തിലേക്ക് വിവർത്തനം ചെയ്യുന്നു, റൗട്ടർ പുറത്തേക്കുള്ള വഴിയിൽ അതിന്റെ സാധാരണ വിവർത്തനം പ്രയോഗിക്കുന്നു. മറുപടിയിൽ റൗട്ടറിന്റെ മാപ്പിംഗ് സെർവർ വിലാസം പുനഃസ്ഥാപിക്കുന്നു, സെർവറിന്റെ മാപ്പിംഗ് ക്ലയന്റ് വിലാസം പുനഃസ്ഥാപിക്കുന്നു. തുടർച്ചയായി രണ്ട് സ്റ്റേറ്റ്ഫുൾ വിവർത്തനങ്ങൾ സാധാരണവും പ്രായോഗികവുമാണ്, രണ്ടും രേഖപ്പെടുത്തിയാൽ; റൗട്ടറിന് ഒരിക്കലും പൂളിലേക്ക് ഒരു റൂട്ട് ആവശ്യമില്ല, അതാണ് ഈ ക്രമീകരണത്തിന്റെ ആകർഷണം.

Get-RemoteAccess | Select-Object VpnS2SInterface, RoutingDomain
Get-NetNat | Select-Object Name, InternalIPInterfaceAddressPrefix

NAT ഉണ്ടെന്ന് അനുമാനിക്കുന്നതിന് പകരം സെർവറിൽ ഇതിനകം എന്തുണ്ടെന്ന് കാണാൻ ഈ വായനകൾ ഉപയോഗിക്കുക. ബ്ലോഗിൽ നിന്ന് പകർത്തിയ Linux masquerade നിയമം Windows കോൺഫിഗറേഷനല്ല, VPN ലിസണറിനുള്ള ഹോസ്റ്റ് ഫയർവാൾ അനുമതി ക്ലയന്റിന്റെ അഭ്യർത്ഥന മുന്നോട്ട് ഫോർവേഡ് ചെയ്യാനുള്ള അനുമതിയുടെ അതേ നയമല്ല. സെർവറിന്റെ ഫോർവേഡിംഗ് റോൾ അതിന്റെ സ്വന്തം മാനേജ്മെന്റ് ഇന്റർഫേസിൽ നിന്ന് സ്ഥിരീകരിക്കുക, തുടർന്ന് വിവർത്തനം വെവ്വേറെ നോക്കുക, കാരണം രണ്ടും പലപ്പോഴും വിന്യാസത്തിന്റെ വ്യത്യസ്ത ഭാഗങ്ങൾ പ്രവർത്തനക്ഷമമാക്കുന്നു.

ഓപ്ഷൻ B: പൂൾ റൗട്ടറിലേക്ക് കൊണ്ടുപോകുക

രണ്ടാമത്തെ ക്രമീകരണത്തിൽ സെർവർ ക്ലയന്റിന്റെ യഥാർത്ഥ ഉറവിട വിലാസം ഫോർവേഡ് ചെയ്യുന്നു, റൗട്ടർ അത് വിവർത്തനം ചെയ്യുന്നു. അത് എഡ്ജിൽ ക്ലയന്റ് പൂൾ ദൃശ്യമായി നിർത്തുന്നു, ട്രാഫിക് നയം, ലോഗിംഗ് അല്ലെങ്കിൽ പരിശോധന എന്നിവ റൗട്ടറിലാണെങ്കിൽ അത് സഹായിക്കുന്നു. റൗട്ടറിന് 10.70.0.0/24-ന് 172.16.40.10-ലേക്ക് ചൂണ്ടുന്ന ഒരു തിരിച്ചുവരവ് റൂട്ടും, ആ പ്രിഫിക്സ് യഥാർത്ഥത്തിൽ ഉൾപ്പെടുന്ന ഒരു ഇന്റർനെറ്റ് നയവും ആവശ്യമാണെന്നും ഇത് അർത്ഥമാക്കുന്നു; LAN സബ്നെറ്റിനായി എഴുതിയ ഒരു നിയമം നിശബ്ദമായി പൂളിലേക്ക് വ്യാപിക്കുന്നില്ല.

എഡ്ജ് ഉപകരണം ഉദ്ദേശിച്ച നയ ഉടമയും അതിന്റെ റൂട്ടിംഗ്, വിവർത്തന പട്ടികകളിൽ മറ്റൊരു പ്രിഫിക്സ് സ്വീകരിക്കാനും കഴിയുമ്പോൾ ഇത് തിരഞ്ഞെടുക്കുക. പൂൾ മുകളിൽ അദൃശ്യമായി നിൽക്കേണ്ടതുണ്ടെങ്കിലും റൗട്ടർ അതേ ടീം കൈകാര്യം ചെയ്യുന്നില്ലെങ്കിലും സെർവർ വശത്തെ വിവർത്തനം തിരഞ്ഞെടുക്കുക. ക്ലയന്റിലെ ഏതെങ്കിലും ചെക്ക്ബോക്സിൽ നിന്ന് ഒരു ഓപ്ഷനും സൂചിപ്പിക്കപ്പെടുന്നില്ല, ഒന്നും പൊതുവായി സുരക്ഷിതമല്ല; അവ ദൃശ്യതയും പരിപാലനവും വ്യത്യസ്ത സ്ഥലങ്ങളിൽ ഇടുന്നു.

DNS, IPv6, സ്വീകാര്യത എന്നിവ വ്യക്തമാക്കുക

വിലാസ വിവർത്തനം പേരിന്റെ പരിഹാരം ശരിയാക്കുന്നില്ല. ക്ലയന്റ് VPN പ്രൊഫൈലിനൊപ്പം നൽകുന്ന ഒരു റിസോൾവർ, നിർദ്ദിഷ്ട നെയിംസ്പെയ്സുകൾക്കുള്ള സ്വകാര്യ റിസോൾവർ, അല്ലെങ്കിൽ അംഗീകൃത പൊതു റിസോൾവർ എന്നിവ ഉപയോഗിച്ചേക്കാം, ആ നയത്തിന് കീഴിൽ എത്തിച്ചേരാനാകാത്ത റിസോൾവർ റൂട്ടിംഗ് പ്രവർത്തിച്ചതിന് ശേഷവും പരാജയപ്പെടും. ഒരു പേരും ഒരു വിലാസവും വെവ്വേറെ പരിശോധിക്കുക, രണ്ട് പരാജയങ്ങളും ഒരിക്കലും ഒരു റിപ്പോർട്ടിൽ ലയിക്കാതിരിക്കാൻ.

IPv6-ന് ഡിസൈനിൽ സ്വന്തം ഖണ്ഡിക വേണം. പ്രവർത്തിക്കുന്ന IPv4 വിവർത്തനം, IPv6 ക്ലയന്റുകൾക്ക് റൂട്ട്, സാധുവായ പൊതു ഉറവിടം, ടണൽ വീഴുമ്പോൾ അവയെ തടയുന്ന നയം എന്നിവയുണ്ടോ എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. അത് പറയാതെ വിടുന്നത് അർത്ഥമാക്കുന്നത് പകുതി ക്ലയന്റുകൾ നിശബ്ദമായി ഗേറ്റ്വേ ഒഴിവാക്കുകയും ബാക്കി പകുതി പ്രവർത്തിക്കുകയും ചെയ്യുന്നു എന്നാണ്.

സ്വീകാര്യതയ്ക്കായി, അനുവദനീയമായ ഒരു ക്ലയന്റ് അഭ്യർത്ഥനയും അതിന്റെ മറുപടിയും രണ്ട് അതിരുകളിലൂടെ പിന്തുടരുക, ആ നിമിഷത്തിൽ ഓരോ അതിരും കാണേണ്ട വിലാസം എഴുതുക. ആ രേഖയാണ് അടുത്ത പൂൾ മാറ്റത്തെ, കാണാതായ തിരിച്ചുവരവ് റൂട്ട് ആരുടേതെന്ന തർക്കത്തിന് പകരം അഞ്ച് മിനിറ്റത്തെ തിരുത്തലാക്കുന്നത്. രേഖ ടിക്കറ്റിൽ അല്ല, ക്ലയന്റ് പ്രൊഫൈലിനൊപ്പം സൂക്ഷിക്കുക, അടുത്ത എൻജിനീയർ ആദ്യം കണ്ടെത്തുന്നത് പ്രൊഫൈലാണ്.