Ista podmreža na obeh koncih: preslikajte oddaljeni LAN na prosto območje

Doma in v pisarni oba uporabljata 192.168.1.0/24, zato ima zahteva na 192.168.1.1 dva možna odgovora in odjemalec izbere enega, ne da bi vprašal. Prenumeriranje delujočega pisarniškega omrežja je redko priljubljeno, naslovi usmerjevalnika pa so pogosto vgrajeni v tiskalnike, kamere in dokumentacijo. Preslikava naslovov na strani odjemalca lahko namesto tega predstavi oddaljeno omrežje pod prostim območjem, del gostitelja pa lahko ostane enak, tako da se 192.168.1.20 prikaže kot 10.203.41.20. Težava je v tem, da jo izvajajo le nekateri odjemalci in da za povratno pot ne naredi ničesar.

Dva pogleda na istega gostitelja

Preslikava ohrani del gostitelja in spremeni le omrežni del. Isti stroj se nato odziva na dveh naslovih glede na to, kje stojite. Zapis obeh stolpcev pred kakršno koli nastavitvijo prepreči poznejše napačno branje dnevnikov in pravil požarnega zidu.

Lokalne naprave doma ohranijo svoje naslove 192.168.1.x in to je smisel vaje. Tiskalnik v sosednji sobi ostane dosegljiv, medtem ko se pisarna prikaže pod območjem, ki se ne prekriva.

Vrstni red argumentov je vsa zvijača

Možnost sprejme smer, omrežje in masko ter vzdevek: prvo omrežje je tisto, kar vidi odjemalec, vzdevek je tisto, kar vidi strežnik. Za vire, ki živijo za oddaljenim prehodom, je smer ciljna oblika. Zamenjava obeh omrežij zato, ker se zadnji argument imenuje vzdevek, je napaka, ki ustvari tunel, ki se poveže in ničesar ne preslika.

push "route 10.203.41.0 255.255.255.0"
push "client-nat dnat 10.203.41.0 255.255.255.0 192.168.1.0"

Pot je tisto, kar pošlje pakete odjemalca za novo območje v tunel; prevod prepiše cilj na poti. Odgovor z 192.168.1.20 se prepiše nazaj v 10.203.41.20, da vtičnica na odjemalcu ostane dosledna. Posamezen gostitelj deluje enako s polno dolžino maske, dokler pot in preslikava opisujeta isti naslov.

To je preslikava naslovov, ne preslikava vrat. Dveh storitev na enem gostitelju z njo ni mogoče ločiti, protokol, ki v svoj tovor vgrajuje naslove IP, pa bo še vedno videl prave.

Preslikava ne ustvari povratne poti

Prevod se zgodi pri odjemalcu, zato mora strežnik še vedno usmerjati odgovore v tunel, njegov požarni zid pa jih mora še vedno dovoliti. Če oddaljeni prehod ne ve, kako doseči podmrežo tunela, zahteva prispe in odgovor odide skozi napačna vrata; preslikava le naredi, da je napaka videti kot težava odjemalca.

Pravila na strani strežnika bi morala opisovati naslove, ki na strežniku obstajajo po prevodu, ne območja, ki ga vidi odjemalec. Kopiranje vzdevka v pravilo dovoljenja zapravi popoldne, ker ga noben paket na tisti strani ne nosi.

Izberite območje vzdevka, ki ne trči ob nič drugega, kar odjemalec usmerja: druga VPN, omrežje zabojnikov, druga pisarna. Trčenje tukaj znova vnese prvotno dvoumnost pod drugo številko in ga je težje opaziti, ker so naslovi videti neznani.

Imena in tovori preživijo prevod

Ime gostitelja, ki se razreši v pravi 192.168.1.20, pošlje brskalnik na lokalno napravo namesto na oddaljeno, ne glede na to, kaj pravi usmerjevalna tabela. Odgovor zasebnega DNS mora kazati na območje, ki ga vidi odjemalec, medtem ko potrdilo TLS še vedno nosi ime, ki ga aplikacija pričakuje. Preizkusite z imenom in ne z naslovom, ker naslov lahko deluje, medtem ko se ime tiho razrešuje v napačno smer. Ko oddaljeni prehod streže tudi tisti coni, tudi njegovi lastni zapisi potrebujejo območje, ki ga vidi odjemalec.

Preusmeritve, vdelani URL-ji in aplikacije, ki v svojem tovoru izdajo lasten naslov, se lahko pokvarijo na načine, ki jih nobena preslikava paketov ne more popraviti. Obravnavajte jih kot težavo aplikacije in napor odmerite skladno s tem, preden obljubite, da prenumeriranje ni potrebno.

Tri preveritve pred zavezo

Najprej potrdite izvedbo odjemalca. Community OpenVPN podpira to možnost; kodna baza OpenVPN 3 jo navaja med nepodprtimi funkcijami, zato profil, poslan odjemalcu v slogu Connect, lahko preprosto ignorira. Direktiva, ki je sprejeta in nikoli uporabljena, je slabša od napake, ker je tunel videti zdrav.

Drugič, preverite pot in prevod ločeno s kratkim diagnostičnim oknom pri visoki podrobnosti, nato pa preizkusite dejansko storitev namesto pinga. Tretjič, potrdite, da ostaneta lokalni usmerjevalnik in oddaljeni vir razločljiva od odjemalca, saj je bil to prvotni cilj.

Če odjemalec ne more opraviti prevoda, prosite za pomoč na strani prehoda ali sprejmite prenumeriranje. Dodajanje več poti za isti naslov ni zasnova.