Wakati NAT ndani ya VPN ya tovuti-hadi-tovuti inastahili nafasi yake

Tovuti mbili zote zinatumia safu ile ile ya faragha, na handaki linapanda huku hakuna kitu cha manufaa kinachopita ndani yake. Tafsiri ndilo jibu la kawaida, na ni jibu la kweli: kuwasilisha safu tofauti kwa upande wa mbali kunaweza kutatua mgongano au njia ya kurudi ambayo mtandao mwingine hauwezi kuielekeza. Sehemu inayorukwa ni kwamba tafsiri inabadilisha anwani ambazo kila uamuzi wa baadaye unaona. Ichukulie kama uamuzi wa muundo ulioandikwa na ramani iliyoandikwa, sio kama kanuni inayoongezwa hadi ping ifanikiwe.

Amua ni anwani ipi inaandikwa upya

Tafsiri ya chanzo inabadilisha kile huduma ya mbali na kumbukumbu zake zinachoona kama mteja, kwa hivyo mwenyeji wa tawi huwa anwani ya lango anapofika. Tafsiri ya lengwa au kiambishi badala yake inawasilisha anwani mbadala kwa rasilimali ya mbali. Baadhi ya usambazaji huhitaji tafsiri iliyoratibiwa pande zote mbili ili kutenganisha mitandao miwili inayofanana, na mchanganyiko ndio mahali ambapo machafuko mengi huanza.

Andika chanzo kabla ya tafsiri, lengwa kama programu inavyoita, na jozi la anwani ambalo kila lango hulingana nalo. Safu tatu zinatosha, na safu ya tatu ndiyo ambayo watu huiacha.

Mpangilio wa vichaguzi pia ni muhimu. Uchaguzi na tafsiri ya sera ya IPsec hufanyika katika hatua zilizobainishwa, kwa hivyo kichaguzi kilichoandikwa kwa anwani za kabla ya tafsiri kinaweza kisiwahi kulingana na pakiti katika hatua uliyodhani. Angalia sera iliyosakinishwa badala ya sera uliyokusudia kusakinisha, kwa sababu zote mbili hutofautiana hasa wakati kanuni inakubaliwa na kipengele kimoja na kupuuzwa na kingine:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Fuata mzigo na njia ya kurudi

Seva inayorekodi chanzo kilichotafsiriwa badala ya mwenyeji binafsi wa tawi itavunja kanuni au ripoti yoyote inayohusiana na anwani ya awali. Kabla ya kubadilisha ramani, gundua ikiwa kitu chini ya mto hufanya uamuzi kutoka kwa uwanja huo: orodha za ufikiaji, ripoti za ukaguzi, mipaka ya kasi, ukaguzi wa leseni. Kila moja ni mahali ambapo tafsiri inaonekana baadaye kama kushindwa kusikoelezeka.

Itifaki zinazobeba anwani ndani ya mzigo wao zinahitaji upangaji tofauti, kwa sababu kuandika upya kichwa cha nje hakuathiri rejeleo la ndani. FTP inayotumika, SIP na baadhi ya bidhaa za ufikiaji wa mbali ni visa vya kawaida, na muundo unaozipuuza utafanya kazi kwa trafiki ya wavuti na kushindwa kwa programu iliyokuwa muhimu.

Trafiki ya kurudi inategemea ramani zenye hali. Kushindwa kwa lango kunaweza kupoteza hali hiyo, uelekezaji usio linganifu unaweza kuipita, na kuwasha upya kunaweza kuifuta wakati vikao vinabaki wazi upande wa mbali. Ndio sababu ombi linalofika lengwa na kikao kinachokamilika ni matokeo mawili tofauti ya kukubalika.

Linganisha na kuhesabu upya tovuti

Kuhesabu upya tovuti moja inayogongana huondoa ramani kabisa na kuacha mpango wa anwani unaoweza kusomwa bila majedwali ya tafsiri. Ni ghali kiutendaji: rekodi za DNS, mgao wa kudumu, kanuni za firewall na kila anwani iliyoandikwa lazima zibadilike pamoja. Gharama huja mara moja, katika dirisha lililopangwa, na hali ya mwisho iliyo wazi. Unachonunua ni uwezo wa kusoma nakala ya pakiti miaka baadaye bila jedwali la utafutaji.

Tafsiri inaepuka mabadiliko mengi ya ndani na inaunda ramani ambayo lazima ihifadhiwe katika DNS, nyaraka na utatuzi wa matatizo milele. Gharama huja kila mara, kwa umbo la kila mhandisi wa baadaye anayelazimika kujifunza kwamba kiambishi kimoja ndani ya handaki kinamaanisha kitu kingine.

Kwa muunganisho wa muda au mtandao wa mshirika ambao huudhibiti, gharama inayoendelea kwa kawaida inafaa. Kwa tovuti mbili unazomiliki na utazomiliki kwa miaka, kuhesabu upya mara nyingi ndio uamuzi wa bei nafuu ukihesabu uhamishaji kwa uaminifu.

Thibitisha pande zote mbili kwa kikao halisi

Jaribu kikao cha programu badala ya probe moja. Ombi la mwangwi lililofanikiwa huthibitisha kwamba upande mmoja wa itifaki moja unafanya kazi, na linaendana kabisa na njia ya kurudi inayoshindwa kwa kitu chochote kilicho na hali. Tumia huduma iliyochochea muundo, na soma kumbukumbu yake upande wa mbali ili kuona ni anwani gani ya chanzo iliyorekodi.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Kisha thibitisha kwamba ni huduma zilizokusudiwa tu zinazofikika kupitia ramani. Tafsiri inabadilisha uanwani na haifanyi chochote kwa idhini, kwa hivyo sera ya firewall bado inaamua kinachoruhusiwa. Muundo unaotegemea kiambishi kilichotafsiriwa kisichoeleweka kama udhibiti wake wa ufikiaji hauna udhibiti wa ufikiaji wowote.

Rekodi ramani, kikao kilichojaribiwa na anwani ambazo kila upande uliona. Mtu anayefuata kutatua matatizo ya handaki hili anahitaji ukweli huo watatu zaidi ya faili ya usanidi.