Dve lokaciji, eno podomrežje: za vsako zgradite pogled vzdevkov

Dve odjemalski lokaciji uporabljata 192.168.50.0/24, oddaljeni inženir pa mora na vsaki doseči tiskalnik na istem naslovu. Noben trik usmerjanja te dvoumnosti ne razreši sam. Vsaka lokacija potrebuje svoj pogled na naslove, prehod pa mora izbrati lokacijo iz tega pogleda, preden karkoli posreduje.

Načrt ima štiri dele: predpone vzdevkov, obe smeri prevajanja, politiko prekrivanja in imena. Vsak se mora ujemati z drugimi.

Izberite eno predpono vzdevka na lokacijo

Vsaki lokaciji dodelite celotno predpono vzdevka, ki v okolju ne pripada nikomur drugemu. Načrt za dve lokaciji lahko preslika 192.168.50.0/24 lokacije A v 172.21.10.0/24 in enak LAN lokacije B v 172.21.20.0/24. Preverite kandidate proti vsakemu sodelujočemu omrežju, vključno z oblaki VPC in drugimi bazeni VPN. Zasebni naslovni prostor si deli vsaka organizacija, zato to, da je obseg RFC 1918, ne pove ničesar o tem, ali je tukaj prost.

Oddaljenim uporabnikom objavite vzdevek, ne izvornega podomrežja. Izvorni obseg ostaja lokalno dejstvo.

Prevajajte v obe smeri

Prevajajte v obe smeri. Preslikava cilja prepiše naslov vzdevka v izvorni naslov na lokaciji, ki ga ima. Preslikava vira prepiše oddaljenega klicatelja v vzdevek, ki ga druge lokacije lahko razlikujejo.

Statična preslikava ena na ena je deterministična, kar pa implementacije ne naredi brezstanjne. Povratni prevod je lahko odvisen od stanja povezave, preklop ob napaki ali asimetrične poti pa lahko pokvarijo načrt, ki to ignorira. Dokumentacija platforme odloči, kateri od teh primerov velja.

Natančna faza, v kateri se uporabljajo politika, selektorji in poti, se razlikuje med IPsec na osnovi politik, tuneli na osnovi poti in drugimi izdelki. Načrtujte za tistega, ki ga upravljate.

Popeljite načrt skozi prekrivanje

V zvezdišču vsako predpono vzdevka dodelite poti lokacije, ki jo ima, in dovolite le tranzit, ki ga opravilo potrebuje. V mreži vsak ustrezen partner potrebuje isto predpono in znanje o politiki. Dodajanje tunelov samo po sebi ne odpravi dvoumnega naslavljanja.

Objava celotnega podomrežja je širša od objave ene storitve. Če potrebujete le nekaj strojev ali vrat, imejte pravila dostopa ožja od preslikave.

Prevajanje glave ne prepiše tovora aplikacije. Preusmeritve, vdelani naslovi v konfiguracijskih datotekah in dovoljenja na osnovi vira lahko še vedno nosijo izvorni naslov. Preizkusite pot aplikacije, ne le ping. Delujoč odgovor ICMP dokazuje, da preslikava obstaja, in ne pove ničesar o tem, ali aplikacija vzdevek sprejme.

Popravite imena, ki jih vidi vsak klicatelj

Imenom vzdrževanja dajte odgovore, ki ustrezajo pogledu klicatelja. Če oddaljeni inženir razreši ime gostitelja, bi moralo vrniti naslov vzdevka za to lokacijo, ne skupnega izvornega obsega.

Pred prvim oknom vzdrževanja preverite poglede DNS za vsako lokacijo. Ime, ki se razreši v izvorno podomrežje, pošlje klicatelja nazaj v dvoumnost, ki naj bi jo načrt odpravil.

Zabeležite in preverite za vsako lokacijo

Sprejmite vsako lokacijo ločeno od resničnega klicatelja in potrdite, kateri stroj je odgovoril. Zabeležite izvorni naslov, vzdevek, prehod, ki ga ima, in dovoljeno storitev skupaj.

Prav ta seznam ohranja razlikovanje, ko pride tretja lokacija z istim privzetim LAN. Vodnik po IPsec NAT na osnovi politik dokumentira en konkreten model prevajanja; ni pogodba za vsako platformo.