Kedy si NAT v rámci VPN typu site-to-site zaslúži svoje miesto

Obe lokality používajú rovnaký súkromný rozsah a tunel sa zdvihne, pričom cez neho nič užitočné neprechádza. Preklad je zvyčajná odpoveď a je to skutočná odpoveď: predstavenie iného rozsahu vzdialenej strane môže vyriešiť prekrytie alebo spätnú cestu, ktorú druhá sieť nedokáže smerovať. Preskakovaná časť je, že preklad mení adresy, ktoré vidí každé neskoršie rozhodnutie. Berte to ako zdokumentované konštrukčné rozhodnutie s písomným mapovaním, nie ako pravidlo pridávané, kým ping neprejde.

Rozhodnite, ktorá adresa sa prepíše

Preklad zdroja mení to, čo vzdialená služba a jej protokoly vidia ako klienta, takže hostiteľ pobočky sa pri príchode stane adresou brány. Preklad cieľa alebo prefixu namiesto toho predstavuje alternatívnu adresu vzdialeného zdroja. Niektoré nasadenia potrebujú koordinovaný preklad na oboch stranách, aby oddelili dve inak identické siete, a práve v kombinácii začína väčšina zmätku.

Zapíšte zdroj pred prekladom, cieľ tak, ako ho nazýva aplikácia, a dvojicu adries, na ktorú každá brána páruje. Tri stĺpce stačia a tretí stĺpec je ten, ktorý ľudia vynechávajú.

Na poradí selektorov tiež záleží. Výber a preklad politiky IPsec prebiehajú v definovaných fázach, takže selektor napísaný pre adresy pred prekladom nemusí nikdy zodpovedať paketu vo fáze, ktorú ste predpokladali. Skontrolujte politiku, ktorá je nainštalovaná, nie tú, ktorú ste zamýšľali nainštalovať, pretože obe sa rozídu práve vtedy, keď pravidlo prijme jedna komponenta a iná ho ignoruje:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Sledujte užitočné zaťaženie a spätnú cestu

Server, ktorý zaznamenáva preložený zdroj namiesto jednotlivého hostiteľa pobočky, rozbije každé pravidlo alebo správu naviazanú na pôvodnú adresu. Pred zmenou mapovania zistite, či niečo nižšie nerozhoduje podľa tohto poľa: prístupové zoznamy, audítorské správy, limity rýchlosti, kontroly licencií. Každé z nich je miesto, kde sa preklad neskôr prejaví ako nevysvetliteľná porucha.

Protokoly, ktoré nesú adresy vo svojom užitočnom zaťažení, vyžadujú samostatné plánovanie, pretože prepísanie vonkajšej hlavičky sa nedotýka vnútorného odkazu. Aktívny FTP, SIP a niektoré produkty vzdialeného prístupu sú klasické prípady a návrh, ktorý ich ignoruje, bude fungovať pre webovú prevádzku a zlyhá pre aplikáciu, na ktorej záležalo.

Spätná prevádzka závisí od mapovaní so stavom. Prepnutie brány môže tento stav stratiť, asymetrické smerovanie ho môže obísť a reštart ho môže vymazať, zatiaľ čo relácie zostávajú na vzdialenej strane otvorené. Preto požiadavka, ktorá dorazí do cieľa, a relácia, ktorá sa dokončí, sú dva rôzne výsledky prijatia.

Zvážte to proti prečíslovaniu lokality

Prečíslovanie jednej konfliktnej lokality úplne odstráni mapovanie a zanechá plán adries, ktorý sa dá čítať bez prekladových tabuliek. Je to prevádzkovo drahé: záznamy DNS, statické priradenia, pravidlá firewallu a každá zdokumentovaná adresa sa musia zmeniť spolu. Náklad prichádza raz, v naplánovanom okne, s jasným koncovým stavom. To, čo kupujete, je schopnosť prečítať zachytenie paketov o roky neskôr bez vyhľadávacej tabuľky.

Preklad sa vyhýba väčšine lokálnych zmien a vytvára mapovanie, ktoré treba navždy udržiavať v DNS, dokumentácii a riešení problémov. Náklad prichádza nepretržite, v podobe každého budúceho inžiniera, ktorý sa musí naučiť, že jeden prefix vo vnútri tunela znamená niečo iné.

Pri dočasnom pripojení alebo partnerskej sieti, ktorú nekontrolujete, sa priebežný náklad zvyčajne vyplatí. Pri dvoch lokalitách, ktoré vlastníte a budete vlastniť roky, je prečíslovanie často lacnejšie rozhodnutie, keď sa migrácia spočíta čestne.

Dokážte oba smery skutočnou reláciou

Testujte reláciu aplikácie, nie jedinú sondu. Úspešná požiadavka na echo dokazuje, že jeden smer jedného protokolu funguje, a je úplne zlučiteľná so spätnou cestou, ktorá zlyhá pre čokoľvek so stavom. Použite službu, ktorá motivovala návrh, a prečítajte si jej protokol na vzdialenom konci, aby ste videli, ktorú zdrojovú adresu zaznamenala.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Potom potvrďte, že cez mapovanie sú dostupné len zamýšľané služby. Preklad mení adresovanie a pre autorizáciu nerobí nič, takže o tom, čo je povolené, stále rozhoduje politika firewallu. Návrh, ktorý sa spolieha na nejasný preložený prefix ako na svoju kontrolu prístupu, nemá žiadnu kontrolu prístupu.

Zaznamenajte mapovanie, testovanú reláciu a adresy, ktoré pozorovala každá strana. Ďalší človek, ktorý bude ladiť tento tunel, potrebuje tieto tri fakty viac ako konfiguračný súbor.