Kur NAT brenda një VPN nga sajti në sajt fiton vendin e vet

Të dy sajtet përdorin të njëjtin interval privat, dhe tuneli ngrihet ndërsa asgjë e dobishme nuk kalon përmes tij. Përkthimi është përgjigjja e zakonshme, dhe është një përgjigje e vërtetë: paraqitja e një intervali tjetër palës së largët mund të zgjidhë një mbivendosje ose një rrugë kthimi që rrjeti tjetër nuk mund ta ridrejtojë. Pjesa që anashkalohet është se përkthimi ndryshon adresat që sheh çdo vendim i mëpasshëm. Trajtojeni si një vendim dizajni të dokumentuar me një hartëzim të shkruar, jo si një rregull që shtohet derisa një ping të ketë sukses.

Vendosni cila adresë rishkruhet

Përkthimi i burimit ndryshon atë që shërbimi i largët dhe regjistrat e tij shohin si klient, kështu që një host dege bëhet adresë portë kur arrin. Përkthimi i destinacionit ose i prefiksit paraqet në vend të kësaj një adresë alternative për një burim të largët. Disa instalime kanë nevojë për përkthim të koordinuar në të dyja anët për të ndarë dy rrjete ndryshe identike, dhe pikërisht në këtë kombinim fillon pjesa më e madhe e konfuzionit.

Shkruani burimin përpara përkthimit, destinacionin siç e quan aplikacioni dhe çiftin e adresave me të cilin përputhet çdo portë. Tre kolona mjaftojnë, dhe kolona e tretë është ajo që njerëzit e lënë jashtë.

Edhe rendi i selektorëve ka rëndësi. Zgjedhja dhe përkthimi i politikës IPsec ndodhin në faza të përcaktuara, kështu që një selektor i shkruar për adresat përpara përkthimit mund të mos përputhet kurrë me paketën në fazën që supozuat. Kontrolloni politikën e instaluar, jo politikën që kishit ndërmend të instaloni, sepse të dyja ndryshojnë pikërisht kur një rregull pranohet nga një komponent dhe injorohet nga një tjetër:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Ndiqni ngarkesën dhe rrugën e kthimit

Një server që regjistron burimin e përkthyer në vend të hostit individual të degës do të thyejë çdo rregull ose raport të lidhur me adresën origjinale. Përpara se të ndryshoni hartëzimin, zbuloni nëse diçka më poshtë merr një vendim nga ai fushë: lista aksesi, raporte auditimi, kufij shpejtësie, kontrolle licence. Secili prej tyre është një vend ku përkthimi shfaqet më vonë si një dështim i pashpjeguar.

Protokollet që mbajnë adresa brenda ngarkesës së tyre kanë nevojë për planifikim të veçantë, sepse rishkrimi i kokës së jashtme nuk prek referencën e brendshme. FTP aktiv, SIP dhe disa produkte aksesi në distancë janë rastet klasike, dhe një dizajn që i injoron ato do të funksionojë për trafikun e uebit dhe do të dështojë për aplikacionin që kishte rëndësi.

Trafiku i kthimit varet nga hartëzime me gjendje. Dështimi i portës mund ta humbasë atë gjendje, rrugëtimi asimetrik mund ta anashkalojë, dhe një rindezje mund ta fshijë atë ndërsa sesionet mbeten të hapura në anën e largët. Kjo është arsyeja pse një kërkesë që arrin destinacionin dhe një sesion që përfundon janë dy rezultate pranimi të ndryshme.

Peshojeni kundrejt rinumërimit të një sajti

Rinumërimi i një sajti konfliktual e heq hartëzimin plotësisht dhe lë një plan adresash që mund të lexohet pa tabela përkthimi. Është i kushtueshëm operativisht: regjistrat DNS, caktimet statike, rregullat e firewall-it dhe çdo adresë e dokumentuar duhet të ndryshojnë së bashku. Kostoja vjen një herë, në një dritare të planifikuar, me një gjendje përfundimtare të qartë. Ajo që blini është aftësia për të lexuar një regjistrim paketash vite më vonë pa një tabelë kërkimi.

Përkthimi shmang shumicën e ndryshimeve lokale dhe krijon një hartëzim që duhet mirëmbajtur në DNS, dokumentacion dhe zgjidhjen e problemeve përgjithmonë. Kostoja vjen vazhdimisht, në formën e çdo inxhinieri të ardhshëm që duhet të mësojë se një prefiks brenda tunelit do të thotë diçka tjetër.

Për një lidhje të përkohshme ose një rrjet partneri që nuk e kontrolloni, kostoja e vazhdueshme zakonisht ia vlen. Për dy sajte që zotëroni dhe do të zotëroni për vite, rinumërimi është shpesh vendimi më i lirë kur migrimi llogaritet me ndershmëri.

Provoni të dy drejtimet me një sesion të vërtetë

Testoni një sesion aplikacioni në vend të një sondë të vetme. Një kërkesë jehone e suksesshme provon që një drejtim i një protokolli funksionon, dhe është plotësisht i pajtueshëm me një rrugë kthimi që dështon për çdo gjë me gjendje. Përdorni shërbimin që motivoi dizajnin dhe lexoni regjistrin e tij në skajin e largët për të parë cilën adresë burimi regjistroi.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Më pas konfirmoni se vetëm shërbimet e synuara janë të arritshme përmes hartëzimit. Përkthimi ndryshon adresimin dhe nuk bën asgjë për autorizimin, kështu që politika e firewall-it vazhdon të vendosë çfarë lejohet. Një dizajn që mbështetet te një prefiks i përkthyer i errët si kontrolli i aksesit nuk ka fare kontroll aksesi.

Regjistroni hartëzimin, sesionin e testuar dhe adresat që vëzhgoi secila anë. Personi i radhës që do të korrigjojë këtë tunel ka nevojë për ato tre fakte më shumë sesa për skedarin e konfigurimit.