Kdaj si NAT znotraj VPN od mesta do mesta zasluži svoje mesto

Obe lokaciji uporabljata isti zasebni obseg, in tunel se dvigne, medtem ko skozenj ne gre nič koristnega. Prevajanje je običajen odgovor in je resničen odgovor: predstavitev drugega obsega oddaljeni strani lahko reši prekrivanje ali povratno pot, ki je drugo omrežje ne more usmeriti. Izpuščeni del je, da prevajanje spremeni naslove, ki jih vidi vsaka poznejša odločitev. Obravnavajte to kot dokumentirano oblikovalsko odločitev s pisno preslikavo, ne kot pravilo, ki se dodaja, dokler ping ne uspe.

Odločite, kateri naslov se prepiše

Prevajanje vira spremeni, kaj oddaljena storitev in njeni dnevniki vidijo kot odjemalca, zato gostitelj podružnice ob prihodu postane naslov prehoda. Prevajanje cilja ali predpone namesto tega predstavi nadomestni naslov za oddaljeni vir. Nekatere namestitve potrebujejo usklajeno prevajanje na obeh straneh, da ločijo dve sicer enaki omrežji, in v kombinaciji se začne največ zmede.

Zapišite vir pred prevajanjem, cilj, kot ga imenuje aplikacija, in par naslovov, na katerega se ujema vsak prehod. Trije stolpci zadostujejo, in tretji stolpec je tisti, ki ga ljudje izpustijo.

Tudi vrstni red selektorjev je pomemben. Izbira in prevajanje politike IPsec potekata v določenih fazah, zato selektor, napisan za naslove pred prevajanjem, morda nikoli ne bo ustrezal paketu v fazi, ki ste jo predpostavili. Preverite nameščeno politiko, ne politike, ki ste jo nameravali namestiti, ker se obe razhajata točno takrat, ko pravilo sprejme ena komponenta, druga pa ga prezre:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Sledite koristni obremenitvi in povratni poti

Strežnik, ki beleži prevedeni vir namesto posameznega gostitelja podružnice, bo pokvaril vsako pravilo ali poročilo, vezano na izvirni naslov. Preden spremenite preslikavo, ugotovite, ali karkoli dolvodno odloča na podlagi tega polja: seznami dostopa, revizijska poročila, omejitve hitrosti, preverjanja licence. Vsako od tega je mesto, kjer se prevajanje pozneje pokaže kot nerazložljiva okvara.

Protokoli, ki nosijo naslove v svoji koristni obremenitvi, potrebujejo ločeno načrtovanje, ker prepisovanje zunanje glave ne posega v notranjo referenco. Aktivni FTP, SIP in nekateri izdelki za oddaljeni dostop so klasični primeri, in zasnova, ki jih ignorira, bo delovala za spletni promet in ne bo uspela za aplikacijo, ki je bila pomembna.

Povratni promet je odvisen od preslikav s stanjem. Preklop prehoda lahko izgubi to stanje, asimetrično usmerjanje ga lahko obide, ponovni zagon pa ga lahko izbriše, medtem ko seje ostanejo odprte na oddaljeni strani. Zato sta zahteva, ki doseže cilj, in seja, ki se zaključi, dva različna rezultata sprejema.

Pretehtajte to proti preštevilčenju lokacije

Preštevilčenje ene konfliktne lokacije popolnoma odstrani preslikavo in pusti načrt naslovov, ki ga je mogoče brati brez prevajalskih tabel. Operativno je drago: zapisi DNS, statične dodelitve, pravila požarnega zidu in vsak dokumentiran naslov se morajo spremeniti skupaj. Strošek nastane enkrat, v načrtovanem oknu, z jasnim končnim stanjem. Kar kupite, je zmožnost, da leta pozneje preberete zajem paketov brez iskalne tabele.

Prevajanje se izogne večini lokalnih sprememb in ustvari preslikavo, ki jo je treba za vedno vzdrževati v DNS, dokumentaciji in odpravljanju težav. Strošek nastaja nenehno, v obliki vsakega prihodnjega inženirja, ki se mora naučiti, da ena predpona znotraj tunela pomeni nekaj drugega.

Za začasno povezavo ali partnersko omrežje, ki ga ne nadzorujete, se trajni strošek običajno izplača. Za dve lokaciji, ki ju imate in ju boste imeli leta, je preštevilčenje pogosto cenejša odločitev, ko se selitev pošteno izračuna.

Dokažite obe smeri z resnično sejo

Testirajte sejo aplikacije, ne ene same sonde. Uspešna zahteva za odmev dokazuje, da ena smer enega protokola deluje, in je popolnoma združljiva s povratno potjo, ki ne uspe za vse, kar ima stanje. Uporabite storitev, ki je spodbudila zasnovo, in preberite njen dnevnik na oddaljenem koncu, da vidite, kateri izvorni naslov je zabeležila.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Nato potrdite, da so skozi preslikavo dosegljive le predvidene storitve. Prevajanje spremeni naslavljanje in ne naredi ničesar za avtorizacijo, zato politika požarnega zidu še vedno odloča, kaj je dovoljeno. Zasnova, ki se za nadzor dostopa zanaša na nejasno prevedeno predpono, nima prav nobenega nadzora dostopa.

Zabeležite preslikavo, preizkušeno sejo in naslove, ki jih je opazila vsaka stran. Naslednja oseba, ki bo razhroščevala ta tunel, potrebuje ta tri dejstva bolj kot konfiguracijsko datoteko.