Bila NAT di Dalam VPN Tapak-ke-Tapak Berbaloi Diletakkan

Dua tapak kedua-duanya menggunakan julat peribadi yang sama, dan terowong naik sementara tiada apa yang berguna melaluinya. Terjemahan ialah jawapan biasa, dan ia jawapan sebenar: membentangkan julat berbeza kepada bahagian jauh boleh menyelesaikan pertindihan atau laluan balik yang tidak dapat dihalakan oleh rangkaian lain. Bahagian yang terlepas ialah terjemahan mengubah alamat yang dilihat setiap keputusan kemudian. Layan ini sebagai keputusan reka bentuk terdokumen dengan pemetaan bertulis, bukan sebagai peraturan yang ditambah sehingga ping berjaya.

Tentukan alamat mana yang ditulis semula

Terjemahan sumber mengubah apa yang dilihat oleh perkhidmatan jauh dan lognya sebagai klien, jadi hos cawangan menjadi alamat gateway apabila tiba. Terjemahan destinasi atau awalan sebaliknya membentangkan alamat alternatif untuk sumber jauh. Sesetengah penggunaan memerlukan terjemahan terselaras di kedua-dua belah untuk memisahkan dua rangkaian yang sebenarnya serupa, dan gabungan itulah tempat kebanyakan kekeliruan bermula.

Tuliskan sumber sebelum terjemahan, destinasi seperti yang dinamakan oleh aplikasi, dan pasangan alamat yang dipadankan oleh setiap gateway. Tiga lajur sudah cukup, dan lajur ketiga itulah yang orang terlepas pandang.

Urutan pemilih juga penting. Pemilihan dan terjemahan dasar IPsec berlaku pada peringkat yang ditetapkan, jadi pemilih yang ditulis untuk alamat sebelum terjemahan mungkin tidak pernah sepadan dengan paket pada peringkat yang anda andaikan. Semak dasar yang dipasang, bukan dasar yang anda niatkan untuk dipasang, kerana keduanya berbeza tepat apabila satu peraturan diterima oleh satu komponen dan diabaikan oleh yang lain:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Ikut muatan dan laluan balik

Pelayan yang merekodkan sumber terjemahan dan bukannya hos cawangan individu akan memecahkan mana-mana peraturan atau laporan yang terikat pada alamat asal. Sebelum mengubah pemetaan, ketahui sama ada sesuatu di hilir membuat keputusan daripada medan itu: senarai akses, laporan audit, had kadar, semakan lesen. Setiap satu ialah tempat terjemahan muncul kemudian sebagai kegagalan yang tidak dijelaskan.

Protokol yang membawa alamat di dalam muatannya memerlukan perancangan berasingan, kerana menulis semula pengepala luar tidak menyentuh rujukan dalam. FTP aktif, SIP dan sesetengah produk akses jauh ialah kes klasik, dan reka bentuk yang mengabaikannya akan berfungsi untuk trafik web dan gagal untuk aplikasi yang penting.

Trafik balik bergantung pada pemetaan stateful. Failover gateway boleh kehilangan keadaan itu, penghalakan asimetri boleh memintasnya, dan permulaan semula boleh memadamnya sementara sesi kekal terbuka di bahagian jauh. Itulah sebabnya permintaan yang sampai ke destinasi dan sesi yang selesai ialah dua hasil penerimaan yang berbeza.

Timbang dengan penomboran semula tapak

Penomboran semula satu tapak yang bercanggah menghapuskan pemetaan sepenuhnya dan meninggalkan pelan alamat yang boleh dibaca tanpa jadual terjemahan. Ia mahal dari segi operasi: rekod DNS, penetapan statik, peraturan firewall dan setiap alamat yang didokumenkan mesti berubah bersama. Kos berlaku sekali, dalam tetingkap terancang, dengan keadaan akhir yang jelas. Apa yang anda beli ialah keupayaan membaca tangkapan paket bertahun-tahun kemudian tanpa jadual carian.

Terjemahan mengelakkan kebanyakan perubahan tempatan dan mencipta pemetaan yang mesti dikekalkan dalam DNS, dokumentasi dan penyelesaian masalah selamanya. Kos berlaku berterusan, dalam bentuk setiap jurutera masa depan yang perlu belajar bahawa satu awalan bermaksud sesuatu yang lain di dalam terowong.

Untuk sambungan sementara atau rangkaian rakan yang tidak anda kawal, kos berterusan biasanya berbaloi. Untuk dua tapak yang anda miliki dan akan miliki selama bertahun-tahun, penomboran semula selalunya keputusan yang lebih murah apabila migrasi dikira dengan jujur.

Buktikan kedua-dua arah dengan sesi sebenar

Uji sesi aplikasi dan bukan satu prob. Permintaan gema yang berjaya membuktikan satu arah satu protokol berfungsi, dan ia sama sekali serasi dengan laluan balik yang gagal untuk apa-apa yang stateful. Gunakan perkhidmatan yang mendorong reka bentuk, dan baca lognya di hujung jauh untuk melihat alamat sumber mana yang direkodkannya.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Kemudian sahkan bahawa hanya perkhidmatan yang dimaksudkan boleh dicapai melalui pemetaan. Terjemahan mengubah pengalamatan dan tidak melakukan apa-apa untuk kebenaran, jadi dasar firewall masih menentukan apa yang dibenarkan. Reka bentuk yang bergantung pada awalan terjemahan kabur sebagai kawalan aksesnya tidak mempunyai kawalan akses sama sekali.

Rekodkan pemetaan, sesi yang diuji dan alamat yang diperhatikan oleh setiap pihak. Orang seterusnya yang menyahpepijat terowong ini lebih memerlukan ketiga-tiga fakta itu daripada fail konfigurasi.