Dua tapak, satu subnet: bina paparan alias untuk setiap satu

Dua tapak pelanggan kedua-duanya menjalankan 192.168.50.0/24, dan seorang jurutera jauh perlu mencapai pencetak pada alamat yang sama di setiap tapak. Tiada helah penghalaan yang menyelesaikan kekaburan itu sendiri. Setiap tapak memerlukan paparan alamat yang berbeza, dan get laluan mesti memilih tapak daripada paparan itu sebelum memajukan apa-apa.

Pelan ini mempunyai empat bahagian: awalan alias, kedua-dua arah terjemahan, dasar tindanan dan nama. Setiap satu mesti selaras dengan yang lain.

Pilih satu awalan alias bagi setiap tapak

Berikan kepada setiap tapak awalan alias penuh yang tidak dimiliki sesiapa lain dalam persekitaran. Pelan dua tapak boleh memetakan 192.168.50.0/24 tapak A ke 172.21.10.0/24 dan LAN yang sama bagi tapak B ke 172.21.20.0/24. Semak calon terhadap setiap rangkaian yang menyertai, termasuk VPC awan dan kumpulan VPN lain. Ruang alamat peribadi dikongsi oleh setiap organisasi, jadi sesuatu julat itu RFC 1918 tidak bermakna ia kosong di sini.

Terbitkan alias, bukan subnet asal, kepada pengguna jauh. Julat asal kekal sebagai fakta tempatan.

Terjemah dalam kedua-dua arah

Terjemah dalam kedua-dua arah. Pemetaan destinasi menulis semula alamat alias menjadi alamat asal di tapak pemilik. Pemetaan sumber menulis semula pemanggil jauh menjadi alias yang boleh dibezakan oleh tapak lain.

Pemetaan statik satu-ke-satu adalah deterministik, dan itu tidak menjadikan pelaksanaannya tanpa keadaan. Terjemahan songsang boleh bergantung pada keadaan sambungan, dan pengalihan kegagalan atau laluan tidak simetri boleh merosakkan pelan yang mengabaikannya. Dokumentasi platform menentukan mana satu yang terpakai.

Peringkat tepat di mana dasar, pemilih dan laluan digunakan berbeza antara IPsec berasaskan dasar, terowong berasaskan laluan dan produk lain. Reka bentuk untuk yang anda jalankan.

Bawa pelan melalui tindanan

Dalam hab, tetapkan setiap awalan alias kepada laluan tapak yang memilikinya dan benarkan hanya transit yang diperlukan tugas. Dalam mesh, setiap rakan sebaya yang berkaitan memerlukan awalan dan pengetahuan dasar yang sama. Menambah terowong tidak membaiki pengalamatan kabur dengan sendirinya.

Penerbitan seluruh subnet lebih luas daripada penerbitan satu perkhidmatan. Jika hanya beberapa mesin atau port diperlukan, kekalkan peraturan akses lebih sempit daripada pemetaan.

Terjemahan pengepala tidak menulis semula muatan aplikasi. Ubah hala, alamat terbenam dalam fail konfigurasi dan kebenaran berasaskan sumber semuanya masih boleh membawa alamat asal. Uji laluan aplikasi, bukan hanya ping. Balasan ICMP yang berfungsi membuktikan pemetaan itu wujud dan tidak menyatakan apa-apa tentang sama ada aplikasi menerima alias itu.

Betulkan nama yang dilihat oleh setiap pemanggil

Berikan nama penyelenggaraan jawapan yang sepadan dengan paparan pemanggil. Jika jurutera jauh menyelesaikan nama hos, ia harus mengembalikan alamat alias untuk tapak itu, bukan julat asal yang dikongsi.

Semak paparan DNS bagi setiap tapak sebelum tetingkap penyelenggaraan pertama. Nama yang diselesaikan kepada subnet asal menghantar pemanggil kembali ke kekaburan yang sepatutnya dihapuskan oleh pelan.

Rekod dan sahkan bagi setiap tapak

Terima setiap tapak secara berasingan daripada pemanggil sebenar dan sahkan mesin mana yang menjawab. Rekod alamat asal, alias, get laluan pemilik dan perkhidmatan yang dibenarkan bersama-sama.

Inventori itulah yang mengekalkan perbezaan apabila tapak ketiga tiba dengan LAN lalai yang sama. Panduan IPsec NAT berasaskan dasar mendokumenkan satu model terjemahan konkrit; ia bukan kontrak untuk setiap platform.