Dvije lokacije, jedna podmreža: izgradite zaseban prikaz aliasa za svaku

Dvije korisničke lokacije obje koriste 192.168.50.0/24, a udaljeni inženjer mora na svakoj doći do pisača na istoj adresi. Nijedan trik usmjeravanja ne rješava tu dvosmislenost sam po sebi. Svaka lokacija treba zaseban prikaz adresa, a pristupnik mora odabrati lokaciju iz tog prikaza prije nego što bilo što proslijedi.

Plan ima četiri dijela: prefiksi aliasa, oba smjera prijevoda, politika preklopa i nazivi. Svaki se mora slagati s ostalima.

Odaberite jedan prefiks aliasa po lokaciji

Dodijelite svakoj lokaciji cijeli prefiks aliasa koji ne pripada nikome drugome u okruženju. Plan za dvije lokacije može preslikati 192.168.50.0/24 lokacije A na 172.21.10.0/24, a identičnu LAN mrežu lokacije B na 172.21.20.0/24. Provjerite kandidate prema svakoj uključenoj mreži, uključujući cloud VPC-ove i druge VPN skupove. Privatni adresni prostor dijeli svaka organizacija, pa to što je raspon RFC 1918 ne govori ništa o tome je li ovdje slobodan.

Objavite alias, a ne izvornu podmrežu, udaljenim korisnicima. Izvorni raspon ostaje lokalna činjenica.

Prevedite u oba smjera

Prevedite u oba smjera. Preslikavanje odredišta prepisuje adresu aliasa u izvornu adresu na lokaciji koja ga posjeduje. Preslikavanje izvora prepisuje udaljenog pozivatelja u alias koji druge lokacije mogu razlikovati.

Statičko preslikavanje jedan-na-jedan je determinističko i to ne čini implementaciju bezstanjnom. Obrnuti prijevod može ovisiti o stanju veze, a prebacivanje na rezervu ili asimetrične staze mogu slomiti plan koji to zanemaruje. Dokumentacija platforme odlučuje koje od toga vrijedi.

Točna faza u kojoj se primjenjuju politika, selektori i rute razlikuje se između IPsec-a temeljenog na politikama, tunela temeljenih na rutama i drugih proizvoda. Projektirajte za onaj koji pokrećete.

Provedite plan kroz preklop

U hubu dodijelite svaki prefiks aliasa putu lokacije koja ga posjeduje i dopustite samo tranzit koji zadatak treba. U mreži svaki relevantni peer treba isti prefiks i znanje o politici. Dodavanje tunela samo po sebi ne ispravlja dvosmisleno adresiranje.

Objavljivanje cijele podmreže šire je od objavljivanja jedne usluge. Ako treba samo nekoliko strojeva ili portova, držite pravila pristupa užima od preslikavanja.

Prijevod zaglavlja ne prepisuje korisni teret aplikacije. Preusmjeravanja, ugrađene adrese u konfiguracijskim datotekama i dopuštenja temeljena na izvoru mogu i dalje nositi izvornu adresu. Testirajte put aplikacije, a ne samo ping. Ispravan ICMP odgovor dokazuje da preslikavanje postoji i ne govori ništa o tome prihvaća li aplikacija alias.

Ispravite nazive koje svaki pozivatelj vidi

Dajte održavanim nazivima odgovore koji odgovaraju prikazu pozivatelja. Ako udaljeni inženjer razriješi naziv hosta, trebao bi vratiti adresu aliasa te lokacije, a ne zajednički izvorni raspon.

Provjerite DNS prikaze po lokaciji prije prvog prozora održavanja. Naziv koji se razriješi na izvornu podmrežu vraća pozivatelja u dvosmislenost koju je plan trebao ukloniti.

Zabilježite i provjerite po lokaciji

Prihvatite svaku lokaciju zasebno od stvarnog pozivatelja i potvrdite koje je računalo odgovorilo. Zabilježite izvornu adresu, alias, pristupnik koji ga posjeduje i dopuštenu uslugu zajedno.

Taj popis je ono što čuva razliku kada treća lokacija dođe s istom zadanom LAN mrežom. Vodič za IPsec NAT temeljen na politikama dokumentira jedan konkretan model prijevoda; on nije ugovor za svaku platformu.