Meta NAT ġewwa VPN minn sit għal sit jistħoqqlu postu

Żewġ siti jużaw l-istess firxa privata, u l-mina tinżel waqt li xejn utli ma jgħaddi minnha. It-traduzzjoni hija l-ġibda tas-soltu, u hija waħda reali: li tippreżenta firxa differenti lin-naħa l-bogħda tista’ ssolvi koinċidenza jew triq tar-ritorn li n-netwerk l-ieħor ma jistax iddawwar. Il-parti li tinħall hija li t-traduzzjoni tibdel l-indirizzi li jara kull deċiżjoni sussegwenti. Ittrattaha bħala deċiżjoni tad-disinn iddokumentata b’mapping miktub, mhux bħala regola miżjuda sakemm ping jirnexxi.

Iddeċiedi liema indirizz jerġa’ jinkiteb

It-traduzzjoni tas-sors tibdel dak li s-servizz bogħod u l-logs tiegħu jaraw bħala klijent, allura host tal-fergħa jsir indirizz tal-gateway mal-wasla. It-traduzzjoni tad-destinazzjoni jew tal-prefiss minflok tippreżenta indirizz alternattiv għal riżorsa bogħod. Xi skjeramenti jeħtieġu traduzzjoni kkoordinata fuq iż-żewġ naħat biex jifirdu żewġ netwerks li altrimenti jkunu identiċi, u fil-kombinazzjoni jibda l-biċċa l-kbira tal-konfużjoni.

Ikteb is-sors qabel it-traduzzjoni, id-destinazzjoni kif issejħilha l-applikazzjoni, u l-par indirizzi li kull gateway jaqbel miegħu. Tliet kolonni huma biżżejjed, u t-tielet kolonna hija dik li n-nies iħallu barra.

L-ordni tas-seletturi hija importanti wkoll. L-għażla u t-traduzzjoni tal-politika IPsec iseħħu fi stadji definiti, allura selettur miktub għall-indirizzi qabel it-traduzzjoni jista’ qatt ma jaqbel mal-pakkett fl-istadju li assumajt. Iċċekkja l-politika installata minflok dik li kellek il-ħsieb tinstalla, għax it-tnejn jiddevjau eżattament meta regola tiġi aċċettata minn komponent wieħed u injorata minn ieħor:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Segwi l-payload u t-triq tar-ritorn

Server li jirreġistra s-sors tradott minflok il-host tal-fergħa individwali se jkisser kull regola jew rapport marbut mal-indirizz oriġinali. Qabel tibdel il-mapping, sib jekk xi ħaġa ‘l isfel tieħux deċiżjoni minn dak il-qasam: listi ta’ aċċess, rapporti tal-awditjar, limiti tar-rata, kontrolli tal-liċenzja. Kull wieħed minn dawn huwa post fejn it-traduzzjoni tidher aktar tard bħala falliment mhux spjegat.

Il-protokolli li jġorru indirizzi fil-payload tagħhom jeħtieġu ppjanar separat, għax li terġa’ tikteb il-header ta’ barra ma tmissx ir-referenza ta’ ġewwa. FTP attiv, SIP u xi prodotti ta’ aċċess mill-bogħod huma l-każijiet klassiċi, u disinn li jinjorahom se jaħdem għat-traffiku tal-web u jfalli għall-applikazzjoni li kienet importanti.

It-traffiku tar-ritorn jiddependi minn mappings stateful. Il-failover tal-gateway jista’ jitlef dak l-istat, ir-routing asimmetriku jista’ jevitaħ, u restart jista’ jnaddafu waqt li s-sessjonijiet jibqgħu miftuħa fuq in-naħa l-bogħda. Għalhekk talba li tasal fid-destinazzjoni u sessjoni li titlesta huma żewġ riżultati ta’ aċċettazzjoni differenti.

Iżżnu kontra li terġa’ tinnumera sit

Li terġa’ tinnumera sit wieħed konfliġġenti tneħħi l-mapping għal kollox u tħalli pjan tal-indirizzi li jista’ jinqara mingħajr tabelli tat-traduzzjoni. Huwa għali operattivament: rekords DNS, assenjamenti statiċi, regoli tal-firewall u kull indirizz iddokumentat iridu jinbidlu flimkien. L-ispiża tiġi darba, fi tqila ppjanata, b’stat finali ċar. Dak li tixtri hija l-abbiltà li taqra qbid tal-pakketti snin wara mingħajr tabella tat-tfittxija.

It-traduzzjoni tevita l-biċċa l-kbira tal-bidliet lokali u toħloq mapping li trid tinżamm fid-DNS, fid-dokumentazzjoni u fl-issolvjar tal-problemi għal dejjem. L-ispiża tiġi kontinwament, fil-forma ta’ kull inġinier futur li jrid jitgħallem li prefiss wieħed ifisser xi ħaġa oħra ġewwa l-mina.

Għal konnessjoni temporanja jew netwerk sħab li ma tikkontrollax, l-ispiża kontinwa normalment tiswa. Għal żewġ siti li tippossjedi u se tippossjedi għal snin, li terġa’ tinnumera spiss hija d-deċiżjoni irħas ladarba l-migrazzjoni tingħadd b’onestà.

Ipprova ż-żewġ direzzjonijiet b’sessjoni vera

Ittestja sessjoni tal-applikazzjoni minflok probe waħda. Talba tal-echo li tirnexxi tipprova li direzzjoni waħda ta’ protokoll wieħed taħdem, u hija kompletament kompatibbli ma’ triq tar-ritorn li tfalli għal kull ħaġa stateful. Uża s-servizz li mmotiva d-disinn, u aqra l-log tiegħu fit-tarf bogħod biex tara liema indirizz tas-sors irreġistra.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Imbagħad ikkonferma li huma aċċessibbli biss is-servizzi maħsuba permezz tal-mapping. It-traduzzjoni tibdel l-indirizzar u ma tagħmel xejn għall-awtorizzazzjoni, allura l-politika tal-firewall xorta tiddeċiedi x’inhu permess. Disinn li jiddependi fuq prefiss tradott mhux ċar bħala l-kontroll tal-aċċess tiegħu m’għandux kontroll tal-aċċess xejn.

Irreġistra l-mapping, is-sessjoni ttestjata u l-indirizzi li osservat kull naħa. Il-persuna li jmiss li se tiddibuggja din il-mina għandha bżonn dawk it-tliet fatti aktar mill-fajl tal-konfigurazzjoni.