NAT fuq is-server VPN jew fuq ir-router? It-tnejn jistgħu jaħdmu

L-immarkar ta’ konnessjoni bħala r-rotta default fuq laptop huwa l-pass li kulħadd jiftakar, u huwa eżattament dak li ma jbiddel xejn fuq il-gateway. Il-klijent issa jibgħat it-talbiet tal-internet fit-tunnel; jekk joħorġux mill-bini jiddependi fuq it-trażżin ’il quddiem, punt ta’ traduzzjoni u triq tar-ritorn li tilħaq l-indirizz privat tal-klijent. Żewġ arranġamenti jistgħu jipprovdu t-tlieta, jqiegħdu x-xogħol f’postijiet differenti, u t-tnejn ifallu bl-istess mod kwiet meta ħadd ma jieħu ħsieb id-direzzjoni tat-tweġiba. L-għażla bejn iż-żewġ hija mistoqsija dwar min għandu jara l-pool tal-klijenti.

Il-mit: rotta tal-klijent tibni l-ħruġ

It-tunnel forzat hija politika fuq in-naħa tal-klijent: tiddeċiedi li t-traffiku jmur għall-adapter VPN minflok għal dak fiżiku. Id-dokumentazzjoni ta’ Microsoft dwar l-irrotar VPN tiddeskrivi dik il-qasma u l-imġiba forzata, u hija dikjarazzjoni dwar it-tabella tar-rotot tal-klijent, mhux dwar ir-regoli tat-trażżin ’il quddiem tas-server. Mill-perspettiva tal-klijent it-tunnel huwa l-post fejn jgħix l-internet; mill-perspettiva tal-gateway waslet pakkett minn indirizz li ħadd iktar ’il fuq qatt ma sama’ bih. L-ebda naħa mhi kkonfigurata ħażin waħedha, u għalhekk il-falliment jidher bħal server miksur għall-persuna ħdejn il-laptop.

Dik id-diskrepanza hija l-problema kollha li ssolvi l-bqija ta’ dan l-artiklu. Xi ħaġa trid tagħmel l-indirizz privat tal-klijent jista’ jiġi rritornat, u l-għażla hija fejn.

L-ewwel pinġi t-triq tar-ritorn

Ikteb it-triq b’indirizzi reali qabel ma tmiss kwalunkwe setting, u immarka fuqha ż-żewġ punti ta’ traduzzjoni kandidati. Dan il-laboratorju juża pool VPN ta’ 10.70.0.0/24 b’klijent wieħed fi 10.70.0.37, indirizz LAN tas-server fi 172.16.40.10, router fi 172.16.40.1 u ħruġ pubbliku fi 203.0.113.40.

client 10.70.0.37 -- tunnel --> RRAS 172.16.40.10 -- LAN --> router 172.16.40.1 --> 203.0.113.40
                                  (translate here?)                             (or here?)

Is-server li diġà qed jippeġġa l-internet jipprova biss it-triq tiegħu stess. Pakkett imrażżan ’il quddiem f’isem klijent huwa deċiżjoni differenti, meħuda mill-politika tat-trażżin fuq l-istess magna, u dik hija l-waħda li normalment tonqos. L-immarkar tat-tliet punti ta’ deċiżjoni fuq id-dijagramma jżomm il-konverżazzjoni dwar wieħed minnhom kull darba.

Għażla A: ittraduċi fuq is-server VPN

Hawn is-server jittraduċi s-sors tal-klijent għall-indirizz LAN tiegħu stess qabel ma jagħti l-pakkett lir-router, u r-router japplika t-traduzzjoni tas-soltu tiegħu fit-triq ’il barra. Fuq it-tweġiba, il-mapping tar-router jerġa’ jġib l-indirizz tas-server u l-mapping tas-server jerġa’ jġib l-indirizz tal-klijent. Żewġ traduzzjonijiet bl-istat f’serje huma normali u prattikabbli, sakemm it-tnejn jiġu rrekordjati; ir-router qatt ma jeħtieġ rotta lejn il-pool, u dan huwa s-seħer ta’ dan l-arranġament.

Get-RemoteAccess | Select-Object VpnS2SInterface, RoutingDomain
Get-NetNat | Select-Object Name, InternalIPInterfaceAddressPrefix

Uża dawn il-qari biex tara x’għandu diġà s-server minflok tassumi li hemm NAT. Regola masquerade ta’ Linux ikkupjata minn blog mhix konfigurazzjoni ta’ Windows, u permess fil-firewall tal-host għas-semmiegħ VPN mhuwiex l-istess politika bħall-permess li tintbagħat talba ta’ klijent ’il quddiem. Ikkonferma r-rwol tat-trażżin tas-server mill-wiċċ tal-amministrazzjoni tiegħu stess, imbagħad ħares lejn it-traduzzjoni separatament, għax it-tnejn spiss jiġu attivati minn partijiet differenti ta’ varar.

Għażla B: ġorr il-pool lejn ir-router

Fit-tieni arranġament is-server iwassal l-indirizz tas-sors reali tal-klijent, u r-router jittraduċih. Dan iżomm il-pool tal-klijenti viżibbli fit-tarf, li jgħin jekk ir-router huwa l-post fejn tgħix il-politika tat-traffiku, ir-reġistrazzjoni jew l-ispezzjoni. Dan ifisser ukoll li r-router jeħtieġ rotta tar-ritorn għal 10.70.0.0/24 li tipponta lejn 172.16.40.10, flimkien ma’ politika tal-internet li tassew tinkludi dak il-prefiss; regola miktuba għas-subnet LAN ma tinfirix kwiet lejn il-pool.

Agħżel dan meta l-apparat tat-tarf huwa s-sid maħsub tal-politika u jista’ jaċċetta prefiss ieħor fit-tabelli tal-irrotar u tat-traduzzjoni tiegħu. Agħżel it-traduzzjoni fuq in-naħa tas-server meta l-pool għandu jibqa’ inviżibbli ’il fuq u r-router mhuwiex amministrat mill-istess tim. L-ebda għażla mhi implikata minn xi kaxxa tal-marka fuq il-klijent, u l-ebda waħda mhija aktar sigura b’mod ġenerali; iqiegħdu l-viżibbiltà u l-manutenzjoni f’postijiet differenti.

Agħmel id-DNS, l-IPv6 u l-aċċettazzjoni espliċiti

It-traduzzjoni tal-indirizzi ma tiffissax is-soluzzjoni tal-ismijiet. Il-klijent jista’ juża resolver fornuti mal-profil VPN, resolver privat għal spazji tal-ismijiet speċifiċi, jew wieħed pubbliku approvat, u resolver li ma jistax jintlaħaq taħt dik il-politika se jkompli jfalli wara li l-irrotar jaħdem. Ittestja isem u indirizz separatament sabiex iż-żewġ fallimenti qatt ma jingħaqdu f’rapport wieħed.

L-IPv6 jeħtieġ il-paragrafu tiegħu fid-disinn. Traduzzjoni IPv4 li taħdem ma tgħid xejn dwar jekk il-klijenti IPv6 għandhomx rotta, sors pubbliku validu jew politika li timblokkjahom meta t-tunnel jaqa’. Li tħalli dan mhux mistqarr ifisser li nofs il-klijenti jaqbżu l-gateway kwiet filwaqt li n-nofs l-ieħor jaħdem.

Għall-aċċettazzjoni, segwi talba waħda permessa tal-klijent u t-tweġiba tagħha tul iż-żewġ fruntieri, u ikteb liema indirizz kull fruntiera għandha tara f’dak il-mument. Dak ir-rekord huwa dak li jagħmel il-bidla li jmiss tal-pool editjar ta’ ħames minuti minflok argument dwar min għandu r-rotta tar-ritorn nieqsa. Żomm ir-rekord mal-profil tal-klijent u mhux fi ticket, għax il-profil huwa dak li l-inġinier li jmiss se jsib l-ewwel.