Када NAT унутар VPN-а од локације до локације заслужује своје место

Обе локације користе исти приватни опсег, и тунел се подиже док ништа корисно не пролази кроз њега. Превод је уобичајен одговор, и то је стварни одговор: приказивање другог опсега удаљеној страни може решити преклапање или повратну путању коју друга мрежа не може да рутира. Део који се прескаче је то што превод мења адресе које види свака каснија одлука. Третирајте то као документовану дизајнерску одлуку са написаним мапирањем, а не као правило које се додаје док ping не успе.

Одлучите која адреса се преписује

Превод извора мења шта удаљена услуга и њени дневници виде као клијента, тако да домаћин огранка по доласку постаје адреса пролаза. Превод одредишта или префикса уместо тога представља алтернативну адресу за удаљени ресурс. Нека распоређивања захтевају координисани превод са обе стране да би се раздвојиле две иначе идентичне мреже, и управо у комбинацији почиње највећи део забуне.

Запишите извор пре превода, одредиште како га апликација назива и пар адреса на који се сваки пролаз поклапа. Три колоне су довољне, а трећа колона је она коју људи изостављају.

Редослед селектора је такође важан. Избор и превод IPsec политике одвијају се у дефинисаним фазама, па селектор написан за адресе пре превода можда никада неће одговарати пакету у фази коју сте претпоставили. Проверите инсталирану политику, а не политику коју сте намеравали да инсталирате, јер се две разилазе тачно када правило прихвати једна компонента, а друга га игнорише:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Пратите терет и повратну путању

Сервер који бележи преведени извор уместо појединачног домаћина огранка сломиће свако правило или извештај везан за оригиналну адресу. Пре него што промените мапирање, откријте да ли нешто низводно одлучује на основу тог поља: приступне листе, ревизорски извештаји, ограничења брзине, провере лиценце. Свако од њих је место где се превод касније појављује као необјашњив квар.

Протоколи који носе адресе у свом терету захтевају посебно планирање, јер преписивање спољашњег заглавља не дотиче унутрашњу референцу. Активни FTP, SIP и неки производи за удаљени приступ су класични случајеви, и дизајн који их игнорише радиће за веб саобраћај и неће успети за апликацију која је била важна.

Повратни саобраћај зависи од мапирања са стањем. Пребацивање пролаза може изгубити то стање, асиметрично рутирање га може заобићи, а поновно покретање га може обрисати док сесије остају отворене на удаљеној страни. Зато су захтев који стиже до одредишта и сесија која се завршава два различита резултата прихватања.

Одмерите то према пренумерацији локације

Пренумерација једне конфликтне локације потпуно уклања мапирање и оставља план адреса који се може читати без табела превода. Оперативно је скупа: DNS записи, статичка додела, правила заштитног зида и свака документована адреса морају да се промене заједно. Трошак долази једном, у планираном прозору, са јасним завршним стањем. Оно што купујете је способност да годинама касније прочитате снимак пакета без табеле за претрагу.

Превод избегава већину локалних промена и ствара мапирање које мора заувек да се одржава у DNS-у, документацији и решавању проблема. Трошак долази непрекидно, у облику сваког будућег инжењера који мора да научи да један префикс унутар тунела значи нешто друго.

За привремену везу или партнерску мрежу коју не контролишете, трајни трошак се обично исплати. За две локације које поседујете и које ћете поседовати годинама, пренумерација је често јефтинија одлука када се миграција поштено израчуна.

Докажите оба смера стварном сесијом

Тестирајте сесију апликације, а не једну сонду. Успешан захтев за ехо доказује да један смер једног протокола ради, и потпуно је компатибилан са повратном путањом која не успева за све што има стање. Користите услугу која је покренула дизајн и прочитајте њен дневник на удаљеном крају да видите коју је изворну адресу забележила.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Затим потврдите да су кроз мапирање доступне само предвиђене услуге. Превод мења адресирање и не чини ништа за ауторизацију, тако да политика заштитног зида и даље одлучује шта је дозвољено. Дизајн који се ослања на нејасан преведени префикс као своју контролу приступа нема никакву контролу приступа.

Забележите мапирање, тестирану сесију и адресе које је посматрала свака страна. Следећој особи која буде дебаговала овај тунел те три чињенице су потребније од конфигурационе датотеке.