NAT-ыг VPN сервер дээр эсвэл чиглүүлэгч дээр? Хоёулаа ажиллаж чадна

Зөөврийн компьютер дээр холболтыг өгөгдмөл чиглэл гэж тэмдэглэх нь бүгдийн санаж байдаг алхам бөгөөд гарц дээр юу ч өөрчлөхгүй байдаг нь яг тэр юм. Клиент одоо интернетийн хүсэлтүүдийг туннель рүү илгээдэг; тэд барилгаас гарч чадах эсэх нь дамжуулалт, орчуулгын цэг болон клиентийн хувийн хаягт хүрэх буцах зам зэргээс хамаарна. Хоёр зохион байгуулалт гурвыг нь өгч чадна, тэд ажлыг өөр өөр газарт байрлуулдаг бөгөөд хариултын чиглэлийг хэн ч хариуцахгүй үед хоёулаа ижил чимээгүй байдлаар бүтэлгүйтдэг. Тэдний хооронд сонголт хийх нь клиентийн пулыг хэн харах ёстой вэ гэсэн асуулт юм.

Домог: клиентийн чиглэл гарцыг бүтээдэг

Албадсан туннельчлал нь клиентийн талын бодлого: трафик физик адаптер руу биш, VPN адаптер руу явна гэдгийг шийддэг. Microsoft-ын VPN чиглүүлэлтийн баримт бичиг тэр хуваагдал болон албадлагын зан төлөвийг тайлбарладаг бөгөөд энэ нь клиентийн чиглэлийн хүснэгтийн тухай мэдэгдэл, серверийн дамжуулалтын дүрмийн тухай биш юм. Клиентийн өнцгөөс туннель бол интернет амьдардаг газар; гарцын өнцгөөс пакет дээрээс хэн ч хэзээ ч сонсож байгаагүй хаягаас ирсэн. Аль ч тал дангаараа буруу тохируулагдаагүй тул зөөврийн компьютерийн дэргэдэх хүнд энэ алдаа эвдэрсэн сервер мэт харагддаг.

Тэр зөрүү нь энэ өгүүллийн үлдсэн хэсэг шийдэх бүх асуудал юм. Ямар нэг зүйл клиентийн хувийн хаягийг буцаах боломжтой болгох ёстой бөгөөд сонголт нь хаана вэ гэдэг.

Эхлээд хариултын замыг зур

Аливаа тохиргоонд хүрэхээс өмнө замыг бодит хаягуудаар бичиж, дээр нь хоёр боломжит орчуулгын цэгийг тэмдэглэ. Энэ лаборатори 10.70.0.0/24 VPN пулыг ашигладаг бөгөөд нэг клиент 10.70.0.37 дээр, серверийн LAN хаяг 172.16.40.10, чиглүүлэгч 172.16.40.1 дээр, нийтийн гарц 203.0.113.40 дээр байна.

client 10.70.0.37 -- tunnel --> RRAS 172.16.40.10 -- LAN --> router 172.16.40.1 --> 203.0.113.40
                                  (translate here?)                             (or here?)

Интернетийг аль хэдийн үзэж байгаа сервер зөвхөн өөрийн замыг нотолдог. Клиентийн өмнөөс дамжуулсан пакет нь өөр шийдвэр бөгөөд ижил машин дээрх дамжуулалтын бодлого гаргадаг бөгөөд ихэвчлэн яг тэр нь дутагддаг. Диаграм дээрх гурван шийдвэрийн цэгийг тэмдэглэх нь яриаг нэг удаад тэдний нэг дээр байлгадаг.

А хувилбар: VPN сервер дээр орчуулах

Энд сервер пакетыг чиглүүлэгчид өгөхөөс өмнө клиентийн эх сурвалжийг өөрийн LAN хаяг руу орчуулж, чиглүүлэгч гарах замд ердийн орчуулгаа хэрэглэдэг. Хариултын үед чиглүүлэгчийн зураглал серверийн хаягийг, серверийн зураглал клиентийн хаягийг сэргээдэг. Дараалан хоёр төлөвт орчуулга нь хэвийн бөгөөд хэрэгжих боломжтой, хоёулаа бүртгэгдсэн тохиолдолд; чиглүүлэгчид пул руу чиглэсэн зам хэзээ ч хэрэггүй бөгөөд энэ нь энэ зохион байгуулалтын сэтгэл татам тал юм.

Get-RemoteAccess | Select-Object VpnS2SInterface, RoutingDomain
Get-NetNat | Select-Object Name, InternalIPInterfaceAddressPrefix

NAT байна гэж таамаглахын оронд сервер аль хэдийн юутай байгааг харахын тулд эдгээр уншилтыг ашиглана уу. Блогоос хуулсан Linux masquerade дүрэм нь Windows тохиргоо биш бөгөөд VPN сонсогчид зориулсан хост firewall-ын зөвшөөрөл нь клиентийн хүсэлтийг цааш дамжуулах зөвшөөрөлтэй ижил бодлого биш юм. Серверийн дамжуулалтын үүргийг өөрийн удирдлагын интерфейсээс баталгаажуулж, дараа нь орчуулгыг тусад нь хар, учир нь хоёуланг нь ихэвчлэн байршуулалтын өөр өөр хэсгүүд идэвхжүүлдэг.

Б хувилбар: пулыг чиглүүлэгч рүү зөөх

Хоёр дахь зохион байгуулалтад сервер клиентийн бодит эх хаягийг дамжуулж, чиглүүлэгч үүнийг орчуулдаг. Энэ нь клиентийн пулыг ирмэг дээр харагдахуйц байлгадаг бөгөөд трафикийн бодлого, лог бичилт эсвэл шалгалт чиглүүлэгч дээр байвал тусалдаг. Мөн чиглүүлэгчид 10.70.0.0/24-д зориулсан 172.16.40.10 руу заасан буцах зам, түүнчлэн тэр префиксийг үнэхээр агуулсан интернетийн бодлого хэрэгтэй гэсэн үг; LAN дэд сүлжээнд зориулж бичсэн дүрэм пул руу чимээгүйгээр тархдаггүй.

Ирмэгийн төхөөрөмж бодлогын зориулалтын эзэмшигч бөгөөд чиглүүлэлт болон орчуулгын хүснэгтэдээ өөр нэг префиксийг хүлээж авах боломжтой үед үүнийг сонго. Пул дээрээс үл үзэгдэх байх ёстой бөгөөд чиглүүлэгчийг ижил баг удирддаггүй үед серверийн талын орчуулгыг сонго. Аль ч сонголт клиент дээрх ямар ч чагтлахаас гарахгүй бөгөөд аль нь ч ерөнхийдөө илүү аюулгүй биш; тэд харагдах байдал, засвар үйлчилгээг өөр өөр газарт байрлуулдаг.

DNS, IPv6 болон хүлээн авалтыг тодорхой болго

Хаягийн орчуулга нэрийн шийдвэрийг засахгүй. Клиент VPN профайлтай хамт өгөгдсөн шийдвэрлэгч, тодорхой нэрийн орон зайд зориулсан хувийн шийдвэрлэгч эсвэл зөвшөөрөгдсөн нийтийн шийдвэрлэгчийг ашиглаж болох бөгөөд тэр бодлогын дор хүрч чадахгүй шийдвэрлэгч чиглүүлэлт ажилласны дараа ч бүтэлгүйтсээр байх болно. Нэр болон хаягийг тусад нь шалгаж, хоёр алдаа хэзээ ч нэг тайланд нийлэхгүй байг.

IPv6 нь дизайнд өөрийн догол мөр хэрэгтэй. Ажиллаж байгаа IPv4 орчуулга нь IPv6 клиентүүд чиглэл, хүчинтэй нийтийн эх сурвалж эсвэл туннель унах үед тэднийг блоклох бодлоготой эсэх талаар юу ч хэлэхгүй. Үүнийг хэлэхгүй орхих нь клиентүүдийн тал хувь нь гарцыг чимээгүйгээр тойрч, нөгөө тал хувь нь ажиллана гэсэн үг.

Хүлээн авалтын хувьд зөвшөөрөгдсөн нэг клиентийн хүсэлт болон түүний хариултыг хоёр хилийн дагуу дагаж, тэр мөчид хил бүр ямар хаяг харах ёстойг бич. Тэр бүртгэл нь дараагийн пулын өөрчлөлтийг алга болсон буцах замыг хэн эзэмших тухай маргаан биш, таван минутын засвар болгодог. Бүртгэлийг тасалбарт биш, клиентийн профайлтай хамт хадгал, учир нь дараагийн инженер хамгийн түрүүнд профайлыг олох болно.