Når NAT inne i ein site-til-site-VPN fortener plassen sin

To nettstader brukar begge same private område, og tunnelen kjem opp medan ingenting nyttig kryssar han. Omsetjing er det vanlege svaret, og det er eit reelt svar: å presentere eit anna område for den fjerne sida kan løyse ei overlapping eller ein returveg som det andre nettverket ikkje kan rute. Delen som blir hoppa over, er at omsetjing endrar adressene kvar seinare avgjerd ser. Handter det som ei dokumentert designavgjerd med ei skriftleg mapping, ikkje som ei regel som blir lagd til til ein ping lykkast.

Bestem kva adresse som blir skriven om

Kjeldeomsetjing endrar kva den fjerne tenesta og loggane hennar ser som klient, så ein filialvert blir ei gateway-adresse ved ankomst. Destinasjons- eller prefiksomsetjing presenterer i staden ei alternativ adresse for ein ekstern ressurs. Nokre utrullingar treng koordinert omsetjing på begge sider for å skilje to elles identiske nettverk, og kombinasjonen er der mesteparten av forvirringa startar.

Skriv ned kjelda før omsetjing, destinasjonen slik applikasjonen kallar han, og adresseparet kvar gateway matchar på. Tre kolonnar er nok, og den tredje kolonnen er den folk utelèt.

Rekkjefølgja på selektorane har òg noko å seie. Val og omsetjing av IPsec-policy skjer på definerte trinn, så ein selektor skriven for adresser før omsetjing matchar kanskje aldri pakken på trinnet du antok. Kontroller policyen som er installert i staden for policyen du hadde tenkt å installere, fordi dei to divergerer nøyaktig når ei regel blir godteken av éin komponent og ignorert av ein annan:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Følg nyttelasta og returvegen

Ein server som loggar den omsette kjelda i staden for den einskilde filialverten, vil bryte kvar regel eller rapport som er knytt til den opphavlege adressa. Før du endrar mappinga, finn ut om noko lenger ned tek ei avgjerd frå det feltet: tilgangslister, revisjonsrapportar, hastigheitsgrenser, lisenskontrollar. Kvar av dei er ein stad der omsetjinga seinare dukkar opp som ein uforklarleg feil.

Protokollar som ber adresser inne i nyttelasta si, treng eigen planlegging, fordi omskriving av den ytre headeren ikkje rører den indre referansen. Aktiv FTP, SIP og nokre fjernaksesprodukt er dei klassiske tilfella, og eit design som ignorerer dei, vil verke for webtrafikk og feile for applikasjonen som betydde noko.

Returtrafikk er avhengig av stateful mappings. Gateway-failover kan miste den tilstanden, asymmetrisk ruting kan omgå han, og ein omstart kan tømme han medan sesjonar blir ståande opne på den fjerne sida. Derfor er ein førespurnad som når destinasjonen, og ein sesjon som blir fullført, to ulike akseptresultat.

Vei det mot å omnummerere ein nettstad

Omnummerering av ein motstridande nettstad fjernar mappinga heilt og etterlèt ein adresseplan som kan lesast utan omsetjingstabellar. Det er operativt dyrt: DNS-postar, statiske tildelingar, brannmurreglar og kvar dokumentert adresse må endrast saman. Kostnaden kjem éin gong, i eit planlagt vindauge, med ein klar slutttilstand. Det du kjøper, er evna til å lese ein pakkefangst år seinare utan ein oppslagstabell.

Omsetjing unngår dei fleste lokale endringar og skaper ei mapping som må vedlikehaldast i DNS, dokumentasjon og feilsøking for alltid. Kostnaden kjem kontinuerleg, i form av kvar framtidige ingeniør som må lære at eitt prefiks betyr noko anna inne i tunnelen.

For ei mellombels tilknyting eller eit partnarnettverk du ikkje kontrollerer, er den løpande kostnaden vanlegvis verdt det. For to nettstader du eig og vil eige i årevis, er omnummerering ofte den billegare avgjerda når migreringa blir rekna ærleg.

Bevis begge retningar med ein ekte sesjon

Test ein applikasjonssesjon i staden for ein enkel sonde. Ein vellukka ekko-førespurnad beviser at éi retning av éin protokoll verkar, og han er fullt samsvarande med ein returveg som feilar for alt stateful. Bruk tenesta som motiverte designet, og les loggen hennar i den fjerne enden for å sjå kva kjeldeadresse ho registrerte.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Stadfest deretter at berre dei tiltenkte tenestene er tilgjengelege gjennom mappinga. Omsetjing endrar adressering og gjer ingenting for autorisasjon, så brannmurpolicyen avgjer framleis kva som er tillate. Eit design som stolar på eit uklart omsett prefiks som tilgangskontrollen sin, har ingen tilgangskontroll i det heile.

Registrer mappinga, den testa sesjonen og adressene kvar side observerte. Den neste personen som feilsøkjer denne tunnelen, treng dei tre fakta meir enn konfigurasjonsfila.