NAT د VPN سرور کې یا د روټر کې؟ دواړه کولی شي کار وکړي

په لیپټاپ کې د اړیکې د ډیفالټ لارې په توګه نښه کول هغه ګام دی چې هر څوک یې یادوي، او په ګیټ وې کې هېڅ نه بدلوي هم هغه دی۔ کلاینټ اوس د انټرنیټ غوښتنې تونل ته لېږي؛ چې دوی ودانۍ پریږدي که نه، دا د فوروارډینګ، د یوې ژباړې نقطې او د کلاینټ خصوصي پتې ته رسېدونکې بېرته راستنېدونکې لارې پورې اړه لري۔ دوه ترتیبات کولی شي درې واړه برابره کړي، دوی کار په بېلو ځایونو کې ږدي، او کله چې څوک د ځواب د لوري مسؤلیت نه اخلي دواړه په همدې غلي ډول ناکام شي۔ د دوی ترمنځ انتخاب د دې پوښتنې ځواب دی چې کلاینټ پول باید څوک وګوري۔

افسانه: کلاینټ لاره پخپله د وتلو دروازه جوړوي

جبري تونل کول د کلاینټ خوا سیاست دی: دا فیصله کوي چې ټرافیک فزیکي اډاپټر ته نه، بلکې VPN اډاپټر ته ځي۔ د مایکروسافټ VPN د لارښوونې اسناد هغه جلا کول او جبري چلند بیانوي، او دا د کلاینټ د لارو جدول په اړه خبره ده، د سرور د فوروارډینګ قواعدو په اړه نه۔ د کلاینټ له نظره تونل هغه ځای دی چې انټرنیټ هلته اوسیږي؛ د ګیټ وې له نظره یو پیکٹ د هغې پتې څخه راغی چې پورته هیچا نه دی اورېدلی۔ هېڅ خوا پخپله غلطه نه ده تنظیم شوې، او ځکه لیپټاپ ته نږدې کس ته دا ناکامي د خراب سرور په څېر ښکاري۔

همدا ناسم تطابق هغه ټوله ستونزه ده چې د دې مقالې پاتې برخه یې حل کوي۔ یو څه باید د کلاینټ خصوصي پته د بېرته راګرځېدو وړ کړي، او انتخاب دا دی چې چېرته۔

لومړی د ځواب لاره رسم کړئ

تر هغه چې کومه تنظیم ته لاس ونه وهي، لاره په ریښتینو پتو سره ولیکئ، او پر هغې دوه ممکنه ژباړې نقطې وټاکئ۔ دا لابراتوار د 10.70.0.0/24 VPN پول کاروي، چې پکې یو کلاینټ په 10.70.0.37، د سرور LAN پته 172.16.40.10، روټر په 172.16.40.1 او عامه وتلې په 203.0.113.40 کې دی۔

client 10.70.0.37 -- tunnel --> RRAS 172.16.40.10 -- LAN --> router 172.16.40.1 --> 203.0.113.40
                                  (translate here?)                             (or here?)

هغه سرور چې لا دمخه انټرنیټ ګوري یوازې خپله لاره ثابتوي۔ هغه پیکٹ چې د کلاینټ په استازیتوب مخته لېږل کیږي بېله فیصله ده، چې په همدې ماشین کې د فوروارډینګ سیاست لخوا نیول کیږي، او معمولاً همدا ورک وي۔ په ډیاګرام کې د دریو فیصلې نقطو نښه کول خبرې اترې هر وخت یوازې د هغوی پر یوه ساتي۔

انتخاب A: د VPN سرور کې ژباړه

دلته سرور د پیکٹ روټر ته له سپارلو دمخه د کلاینټ سرچینه خپلې LAN پتې ته ژباړي، او روټر په وتلو کې خپله عادي ژباړه پلي کوي۔ په ځواب کې د روټر نقشه د سرور پته بېرته راولي او د سرور نقشه د کلاینټ پته بېرته راولي۔ په لړ کې دوه حالت لرونکې ژباړې نورمالې او عملي دي، که دواړه ثبت شي؛ روټر هېڅکله پول ته د لارې اړتیا نه لري، او همدا د دې ترتیب جذابیت دی۔

Get-RemoteAccess | Select-Object VpnS2SInterface, RoutingDomain
Get-NetNat | Select-Object Name, InternalIPInterfaceAddressPrefix

دا لوستنې وکاروئ ترڅو وګورئ سرور لا دمخه څه لري، د دې پرځای چې فرض کړئ NAT شته۔ له بلاګ څخه کاپي شوې Linux masquerade قاعده Windows ترتیب نه دی، او د VPN اورېدونکي لپاره په کوربه فایر وال کې اجازه د کلاینټ غوښتنې مخته لېږلو اجازې سره یو شان سیاست نه دی۔ د سرور د فوروارډینګ رول له خپلې مدیریت سطحې څخه تایید کړئ، بیا ژباړه جلا وګورئ، ځکه دواړه ډېری وخت د ځای پرځای کولو بېلو برخو لخوا فعالیږي۔

انتخاب B: پول روټر ته وړل

په دوهم ترتیب کې سرور د کلاینټ ریښتینې سرچینې پته مخته لېږي، او روټر یې ژباړي۔ دا کلاینټ پول په څنډه کې لیدونکی ساتي، کوم چې مرسته کوي که روټر د ټرافیک سیاست، ثبت یا کتنې ځای وي۔ دا هم مانا لري چې روټر ته د 10.70.0.0/24 لپاره 172.16.40.10 ته اشاره کوونکې بېرته راستنېدونکې لاره، او سربېره پردې یو انټرنیټ سیاست چې واقعاً هغه مخکښې شاملوي، اړین دی؛ د LAN فرعي شبکې لپاره لیکل شوې قاعده په غلي ډول پول ته نه غځیږي۔

دا هغه وخت وټاکئ چې د څنډې وسیله د سیاست پام شوی مالک وي او کولی شي په خپلو لارښوونې او ژباړې جدولونو کې بله مخکښه ومني۔ د سرور خوا ژباړه هغه وخت وټاکئ چې پول باید پورته نه لیدل کېدونکی پاتې شي او روټر د همدې ټیم لخوا نه اداره کیږي۔ هېڅ انتخاب د کلاینټ په هېڅ چیک باکس کې نه ښودل کیږي، او هېڅ یو هم په عمومي ډول ډېر خوندي نه دی؛ دوی لید او ساتنه په بېلو ځایونو کې ږدي۔

DNS، IPv6 او قبولول ښکاره کړئ

د پتو ژباړه د نومونو حل نه جوړوي۔ کلاینټ کولی شي د VPN پروفایل سره ورکړل شوی حل کوونکی، د ځانګړو نوم تشو لپاره خصوصي حل کوونکی، یا تصویب شوی عامه حل کوونکی وکاروي، او د هغه سیاست لاندې نه رسېدونکی حل کوونکی به د لارښوونې له کار کولو وروسته هم ناکام وي۔ نوم او پته جلا ازموئ ترڅو دوه ناکامۍ هېڅکله په یو راپور کې سره یوځای نشي۔

IPv6 په ډیزاین کې خپل پراګراف ته اړتیا لري۔ کار کوونکې IPv4 ژباړه هېڅ نه وایي چې IPv6 کلاینټان لاره، معتبره عامه سرچینه یا هغه سیاست لري چې تونل لوېدو وخت یې بندوي۔ دا نه ویل پاتې کول مانا لري چې نیم کلاینټان په غلي ډول ګیټ وې ته څنګه اوړي او بله نیمه کار کوي۔

د قبولولو لپاره، یوه اجازه شوې کلاینټ غوښتنه او د هغې ځواب دواړو پولو ته تعقیب کړئ، او ولیکئ چې په هغه شېبه کې هر پول باید کومه پته وګوري۔ همدا ثبت دی چې بله پول بدلون د ورکې بېرته راستنېدونکې لارې د مالکیت په اړه بحث پرځای پنځه دقیقې سمون ګرځوي۔ ثبت د ټیکټ کې نه، بلکې د کلاینټ پروفایل سره وساتئ، ځکه بل انجینر به لومړی پروفایل ومومي۔