Сайт хоорондын VPN доторх NAT хэзээ өөрийн байр сууриа олдог

Хоёр сайт ижил хувийн мужийг ашиглаж, туннель босдог боловч дотроос нь ямар ч ашигтай зүйл нэвтрэхгүй. Орчуулга бол ердийн хариулт бөгөөд энэ нь бодит хариулт юм: алслагдсан талд өөр муж үзүүлснээр давхцал эсвэл нөгөө сүлжээ чиглүүлж чадахгүй буцах замыг шийдэж болно. Анхааралгүй орхигддог хэсэг нь орчуулга дараагийн шийдвэр бүрийн хардаг хаягуудыг өөрчилдөг. Үүнийг бичмэл зураглал бүхий баримтжуулсан дизайны шийдвэр гэж үзээрэй, ping амжилттай болтол нэмдэг дүрэм гэж биш.

Аль хаягийг дахин бичихийг шийдээрэй

Эх үүсвэрийн орчуулга нь алслагдсан үйлчилгээ болон түүний лог клиентийг хэрхэн хардагийг өөрчилдөг тул салбарын хост ирэхэд гарцын хаяг болдог. Харин очих газар эсвэл префиксийн орчуулга нь алслагдсан нөөцийн өөр хаягийг санал болгодог. Зарим байршуулалт хоёр ижил сүлжээг тусгаарлахын тулд хоёр талд зохицуулсан орчуулга шаарддаг бөгөөд төөрөгдлийн ихэнх нь энэ хослолоос эхэлдэг.

Орчуулгын өмнөх эх үүсвэр, програмын нэрлэдэг очих газрыг болон гарц бүрийн тааруулдаг хаягийн хосыг бичээрэй. Гурван багана хангалттай бөгөөд гурав дахь багана нь хүмүүсийн орхидог багана.

Сонгогчдын дараалал ч чухал. IPsec бодлогын сонголт ба орчуулга тодорхой үе шатуудад явагддаг тул орчуулгын өмнөх хаягуудад зориулж бичсэн сонгогч таны таамагласан шатанд пакеттай хэзээ ч таарахгүй байж болно. Суулгасан бодлогыг шалгаарай, суулгахаар төлөвлөж байсан бодлогыг биш, учир нь нэг бүрэлдэхүүн дүрмийг хүлээн авч, нөгөө нь үл тоомсорлох үед хоёр нь яг зөрдөг:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Ачаалал ба буцах замыг дагаарай

Орчуулсан эх үүсвэрийг тусдаа салбарын хостын оронд бүртгэдэг сервер анхны хаягтай холбогдсон аливаа дүрэм эсвэл тайланг эвдэнэ. Зураглалыг өөрчлөхөөс өмнө доод урсгалд тэр талбараас шийдвэр гаргадаг зүйл байгаа эсэхийг олж мэдээрэй: хандалтын жагсаалт, аудитын тайлан, хурдны хязгаар, лицензийн шалгалт. Эдгээр тус бүр нь орчуулга дараа нь тайлбарлагдаагүй доголдол хэлбэрээр гарч ирдэг газар.

Хаягуудыг ачааллынхаа дотор зөөдөг протоколууд тусдаа төлөвлөлт шаарддаг, учир нь гадаад толгойг дахин бичих нь дотоод лавлагаанд хүрдэггүй. Идэвхтэй FTP, SIP болон зарим алсын хандалтын бүтээгдэхүүн бол сонгодог тохиолдлууд бөгөөд тэдгээрийг үл тоомсорлосон дизайн вэб трафикт ажиллаж, чухал байсан програмын хувьд бүтэлгүйтнэ.

Буцах урсгал нь төлөвтэй зураглалаас хамаардаг. Гарцын шилжилт тэр төлөвийг алдаж болно, тэгш бус чиглүүлэлт түүнийг тойрч болно, дахин эхлүүлэх нь түүнийг цэвэрлэж болно, харин сессүүд алслагдсан талд нээлттэй хэвээр байна. Тиймээс очих газарт хүрсэн хүсэлт ба дууссан сесс нь хүлээн авалтын хоёр өөр үр дүн юм.

Сайтыг дахин дугаарлахтай харьцуулаарай

Нэг зөрчилтэй сайтыг дахин дугаарлах нь зураглалыг бүрэн арилгаж, орчуулгын хүснэгтгүйгээр уншиж болох хаягийн төлөвлөгөө үлдээдэг. Энэ нь үйл ажиллагааны хувьд үнэтэй: DNS бүртгэл, статик хуваарилалт, галт хананы дүрэм болон баримтжуулсан хаяг бүр хамт өөрчлөгдөх ёстой. Зардал нэг удаа, төлөвлөсөн цонхонд, тодорхой эцсийн төлөвтэйгээр гардаг. Таны худалдаж авдаг зүйл бол жилийн дараа хайлтын хүснэгтгүйгээр пакетын бичлэгийг унших чадвар юм.

Орчуулга нь ихэнх локал өөрчлөлтөөс зайлсхийж, DNS, баримт бичиг, асуудал шийдвэрлэлтэд үүрд хадгалах ёстой зураглалыг бий болгодог. Зардал тасралтгүй гардаг, туннелийн дотор нэг префикс өөр утгатай гэдгийг сурах ёстой ирээдүйн инженер бүрийн хэлбэрээр.

Түр холболт эсвэл өөрөө хянадаггүй түншийн сүлжээний хувьд тасралтгүй зардал ихэвчлэн үнэ цэнэтэй. Өөрийн эзэмшлийн бөгөөд олон жил эзэмших хоёр сайтын хувьд шилжилтийг шударгаар тооцвол дахин дугаарлах нь ихэвчлэн илүү хямд шийдвэр байдаг.

Хоёр чиглэлийг бодит сессээр нотлоорой

Нэг зонд биш програмын сессийг туршаарай. Амжилттай цуурай хүсэлт нь нэг протоколын нэг чиглэл ажиллаж байгааг нотолдог бөгөөд энэ нь төлөвтэй бүх зүйлд бүтэлгүйтдэг буцах замтай бүрэн нийцдэг. Дизайныг өдөөсөн үйлчилгээг ашиглаж, алслагдсан төгсгөлд түүний логийг уншин ямар эх хаяг бүртгэснийг хараарай.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Дараа нь зураглалаар зөвхөн зориулсан үйлчилгээнүүд хүрч болохыг баталгаажуулаарай. Орчуулга нь хаяглалтыг өөрчилдөг бөгөөд зөвшөөрлийн хувьд юу ч хийдэггүй тул юу зөвшөөрөгдөхийг галт хананы бодлого шийдсээр байна. Бүдэг орчуулсан префикст хандалтын хяналт гэж найдаж буй дизайнд хандалтын хяналт огт байхгүй.

Зураглал, туршсан сесс, тал бүрийн ажигласан хаягуудыг бүртгээрэй. Энэ туннелийг дараа нь дибаг хийх хүнд конфигурацийн файлаас илүү тэр гурван баримт илүү хэрэгтэй.