Две локације, једна подмрежа: изградите засебан приказ алијаса за сваку

Две корисничке локације обе користе 192.168.50.0/24, а удаљени инжењер мора на свакој да дође до штампача на истој адреси. Ниједан трик усмеравања не решава ту двосмисленост сам по себи. Свакој локацији је потребан засебан приказ адреса, а пролаз мора да изабере локацију из тог приказа пре него што било шта проследи.

План има четири дела: префикси алијаса, оба смера превода, политика преклапања и називи. Сваки мора да се слаже са осталима.

Изаберите један префикс алијаса по локацији

Доделите свакој локацији цео префикс алијаса који не припада ником другом у окружењу. План за две локације може да преслика 192.168.50.0/24 локације A на 172.21.10.0/24, а идентичну LAN мрежу локације B на 172.21.20.0/24. Проверите кандидате према свакој укљученој мрежи, укључујући cloud VPC-ове и друге VPN скупове. Приватни адресни простор дели свака организација, па то што је опсег RFC 1918 не говори ништа о томе да ли је овде слободан.

Објавите алијас, а не изворну подмрежу, удаљеним корисницима. Изворни опсег остаје локална чињеница.

Преводите у оба смера

Преводите у оба смера. Пресликавање одредишта преписује адресу алијаса у изворну адресу на локацији која га поседује. Пресликавање извора преписује удаљеног позиваоца у алијас који друге локације могу да разликују.

Статичко пресликавање један-на-један је детерминистичко и то не чини имплементацију без стања. Обрнути превод може да зависи од стања везе, а пребацивање на резерву или асиметричне путање могу да покваре план који то игнорише. Документација платформе одлучује које од тога важи.

Тачна фаза у којој се примењују политика, селектори и руте разликује се између IPsec-а заснованог на политикама, тунела заснованих на рутама и других производа. Пројектујте за онај који покрећете.

Спроведите план кроз преклоп

У чворишту доделите сваки префикс алијаса путу локације која га поседује и дозволите само транзит који задатак захтева. У мрежи сваки релевантни партнер треба исти префикс и знање о политици. Додавање тунела само по себи не исправља двосмислено адресирање.

Објављивање целе подмреже је шире од објављивања једне услуге. Ако треба само неколико машина или портова, држите правила приступа ужа од пресликавања.

Превод заглавља не преписује корисни терет апликације. Преусмеравања, уграђене адресе у конфигурационим датотекама и дозволе засноване на извору могу и даље да носе изворну адресу. Тестирајте пут апликације, не само ping. Исправан ICMP одговор доказује да пресликавање постоји и ништа не говори о томе да ли апликација прихвата алијас.

Исправите називе које сваки позивалац види

Дајте називима за одржавање одговоре који одговарају приказу позиваоца. Ако удаљени инжењер разреши назив хоста, требало би да врати адресу алијаса те локације, а не заједнички изворни опсег.

Проверите DNS приказе по локацији пре првог прозора за одржавање. Назив који се разреши на изворну подмрежу враћа позиваоца у двосмисленост коју је план требало да уклони.

Забележите и проверите по локацији

Прихватите сваку локацију засебно од стварног позиваоца и потврдите која је машина одговорила. Забележите изворну адресу, алијас, пролаз који га поседује и дозвољену услугу заједно.

Тај списак је оно што чува разлику када трећа локација дође са истом подразумеваном LAN мрежом. Водич за IPsec NAT заснован на политикама документује један конкретан модел превода; он није уговор за сваку платформу.