E njëjta nënrrjet në të dy skajet: hartoni LAN-in e largët në një interval të lirë

Shtëpia dhe zyra përdorin të dyja 192.168.1.0/24, prandaj një kërkesë drejt 192.168.1.1 ka dy përgjigje të mundshme dhe klienti zgjedh njërën pa pyetur. Rinumerimi i një rrjeti zyre në punë rrallë është i popullarizuar, dhe adresat e ruterit shpesh janë të ngulitura në printera, kamera dhe dokumentacion. Hartëzimi i adresave në anën e klientit mund të paraqesë në vend të kësaj rrjetin e largët nën një interval të lirë, dhe pjesa e hostit mund të mbetet e njëjtë, kështu që 192.168.1.20 shfaqet si 10.203.41.20. Kapja është se vetëm disa klientë e zbatojnë dhe se nuk bën asgjë për rrugën e kthimit.

Dy pamje të të njëjtit host

Hartëzimi ruan pjesën e hostit dhe ndryshon vetëm pjesën e rrjetit. E njëjta makinë pastaj përgjigjet në dy adresa në varësi të vendit ku qëndroni. Shkrimi i të dy kolonave përpara se të konfiguroni çdo gjë parandalon lexime të gabuara më vonë të regjistrave dhe rregullave të firewall-it.

Pajisjet lokale në shtëpi mbajnë adresat e tyre 192.168.1.x, dhe ky është qëllimi i ushtrimit. Printeri në dhomën pranë mbetet i arritshëm ndërsa zyra shfaqet nën një interval që nuk përplaset.

Rendi i argumenteve është i gjithë truku

Opsioni merr një drejtim, një rrjet dhe maskë, dhe një alias: rrjeti i parë është ajo që sheh klienti, aliasi është ajo që sheh serveri. Për burimet që jetojnë pas portës së largët, drejtimi është forma e destinacionit. Kthimi i dy rrjeteve sepse argumenti i fundit quhet alias është gabimi që prodhon një tunel që lidhet dhe nuk harton asgjë.

push "route 10.203.41.0 255.255.255.0"
push "client-nat dnat 10.203.41.0 255.255.255.0 192.168.1.0"

Rruga është ajo që dërgon paketat e klientit për intervalin e ri në tunel; përkthimi rishkruan destinacionin gjatë rrugës. Një përgjigje nga 192.168.1.20 rishkruhet përsëri në 10.203.41.20 në mënyrë që soketi në klient të mbetet konsistent. Një host i vetëm funksionon në të njëjtën mënyrë me një maskë me gjatësi të plotë, për sa kohë rruga dhe hartëzimi përshkruajnë të njëjtën adresë.

Ky është hartëzim adresash, jo hartëzim portesh. Dy shërbime në një host nuk mund të ndahen me të, dhe një protokoll që fut adresa IP brenda ngarkesës së tij do të shohë gjithsesi ato të vërtetat.

Hartëzimi nuk krijon një rrugë kthimi

Përkthimi ndodh në klient, prandaj serveri duhet ende të drejtojë përgjigjet në tunel dhe firewall-i i tij duhet ende t'i lejojë ato. Nëse porta e largët nuk e di se si të arrijë nënrrjetin e tunelit, kërkesa mbërrin dhe përgjigja del nga dera e gabuar; hartëzimi vetëm bën që dështimi të duket si problem i klientit.

Rregullat në anën e serverit duhet të përshkruajnë adresat që ekzistojnë në server pas përkthimit, jo intervalin e dukshëm për klientin. Kopjimi i aliasit në një rregull lejimi harxhon një pasdite, sepse asnjë paketë në atë anë nuk e mbart atë.

Zgjidhni një interval aliasi që nuk përplaset me asgjë tjetër që klienti rrugon: një VPN tjetër, një rrjet kontejnerësh, një zyrë e dytë. Përplasja këtu rikthen paqartësinë origjinale nën një numër tjetër dhe është më e vështirë për t'u parë sepse adresat duken të panjohura.

Emrat dhe ngarkesat i mbijetojnë përkthimit

Një emër hosti që zgjidhet në 192.168.1.20 reale e dërgon shfletuesin te pajisja lokale në vend të asaj të largët, pavarësisht se çfarë thotë tabela e rrugëzimit. Përgjigja e DNS-së private duhet të tregojë intervalin e dukshëm për klientin, ndërsa certifikata TLS vazhdon të mbajë emrin që aplikacioni pret. Testoni me emrin dhe jo me adresën, sepse adresa mund të funksionojë ndërsa emri zgjidhet në heshtje në drejtimin e gabuar. Kur porta e largët shërben edhe atë zonë, regjistrimet e saj kanë nevojë gjithashtu për intervalin e dukshëm për klientin.

Ridrejtimet, URL-të e futura dhe aplikacionet që japin adresën e tyre brenda një ngarkese mund të prishen në mënyra që asnjë hartëzim paketash nuk mund t'i rregullojë. Trajtojini si problem aplikacioni dhe vlerësoni përpjekjen në përputhje me këtë përpara se të premtoni se rinumerimi nuk është i nevojshëm.

Tre kontrolle përpara angazhimit

Së pari, konfirmoni zbatimin e klientit. Community OpenVPN e mbështet këtë opsion; baza e kodit OpenVPN 3 e rendit ndër veçoritë e pambështetura, kështu që një profil i shtyrë te një klient në stilin Connect mund thjesht ta injorojë. Një direktivë që pranohet dhe nuk zbatohet kurrë është më e keqe se një gabim, sepse tuneli duket i shëndetshëm.

Së dyti, verifikoni rrugën dhe përkthimin veçmas me një dritare të shkurtër diagnostikuese në detaje të larta, pastaj testoni shërbimin aktual në vend të ping. Së treti, konfirmoni që ruteri lokal dhe burimi i largët mbeten të dallueshëm nga klienti, pasi ky ishte qëllimi fillestar.

Nëse klienti nuk mund ta bëjë përkthimin, kërkoni ndihmë nga ana e portës ose pranoni një rinumerim. Shtimi i më shumë rrugëve për të njëjtën adresë nuk është projektim.