NAT VPN సర్వర్లో లేదా రౌటర్లో? రెండూ పనిచేయగలవు

ల్యాప్టాప్లో కనెక్షన్ను డిఫాల్ట్ మార్గంగా గుర్తించడం అందరూ గుర్తుంచుకునే దశ, మరియు గేట్వేలో ఏదీ మార్చనిది కూడా అదే. క్లయింట్ ఇప్పుడు ఇంటర్నెట్ అభ్యర్థనలను సొరంగంలోకి పంపుతుంది; అవి భవనం నుండి బయటపడతాయా అనేది ఫార్వార్డింగ్, ఒక అనువాద బిందువు మరియు క్లయింట్ యొక్క ప్రైవేట్ చిరునామాను చేరుకునే తిరిగి వచ్చే మార్గంపై ఆధారపడి ఉంటుంది. రెండు ఏర్పాట్లు మూడింటినీ ఇవ్వగలవు, అవి పనిని వేర్వేరు ప్రదేశాల్లో ఉంచుతాయి, మరియు జవాబు దిశకు ఎవరూ బాధ్యత వహించనప్పుడు రెండూ అదే నిశ్శబ్ద పద్ధతిలో విఫలమవుతాయి. వాటి మధ్య ఎంపిక క్లయింట్ పూల్ను ఎవరు చూడాలి అనే ప్రశ్న.

అపోహ: క్లయింట్ మార్గమే నిష్క్రమణను నిర్మిస్తుంది

బలవంతపు సొరంగీకరణ క్లయింట్ వైపు విధానం: ట్రాఫిక్ భౌతిక అడాప్టర్కు బదులు VPN అడాప్టర్కు వెళ్తుందని అది నిర్ణయిస్తుంది. Microsoft యొక్క VPN రూటింగ్ డాక్యుమెంటేషన్ ఆ విభజనను మరియు బలవంత ప్రవర్తనను వివరిస్తుంది, మరియు అది క్లయింట్ యొక్క మార్గ పట్టిక గురించిన ప్రకటన, సర్వర్ యొక్క ఫార్వార్డింగ్ నియమాల గురించి కాదు. క్లయింట్ దృష్టికోణంలో సొరంగం అనేది ఇంటర్నెట్ నివసించే ప్రదేశం; గేట్వే దృష్టికోణంలో ఒక ప్యాకెట్ పైన ఎవరూ ఎప్పుడూ వినని చిరునామా నుండి వచ్చింది. ఏ వైపు ఒంటరిగా తప్పుగా కాన్ఫిగర్ చేయబడలేదు, అందుకే ల్యాప్టాప్ పక్కన ఉన్న వ్యక్తికి ఈ వైఫల్యం పగిలిన సర్వర్లా కనిపిస్తుంది.

ఆ అసమతుల్యతే ఈ వ్యాసంలోని మిగిలిన భాగం పరిష్కరించే మొత్తం సమస్య. ఏదో క్లయింట్ యొక్క ప్రైవేట్ చిరునామాను తిరిగి పంపగలిగేదిగా చేయాలి, మరియు ఎంపిక ఎక్కడ అనేది.

మొదట జవాబు మార్గాన్ని గీయండి

ఏ సెట్టింగ్నూ తాకే ముందు మార్గాన్ని నిజమైన చిరునామాలతో రాయండి, మరియు దానిపై రెండు సాధ్యమైన అనువాద బిందువులను గుర్తించండి. ఈ ప్రయోగశాల 10.70.0.0/24 యొక్క VPN పూల్ను ఉపయోగిస్తుంది, అందులో ఒక క్లయింట్ 10.70.0.37 వద్ద, సర్వర్ యొక్క LAN చిరునామా 172.16.40.10, రౌటర్ 172.16.40.1 వద్ద మరియు పబ్లిక్ నిష్క్రమణ 203.0.113.40 వద్ద ఉన్నాయి.

client 10.70.0.37 -- tunnel --> RRAS 172.16.40.10 -- LAN --> router 172.16.40.1 --> 203.0.113.40
                                  (translate here?)                             (or here?)

ఇప్పటికే ఇంటర్నెట్ విహరిస్తున్న సర్వర్ తన సొంత మార్గాన్ని మాత్రమే నిరూపిస్తుంది. క్లయింట్ తరఫున ఫార్వార్డ్ చేయబడిన ప్యాకెట్ మరో నిర్ణయం, అదే యంత్రంలోని ఫార్వార్డింగ్ విధానం తీసుకుంటుంది, మరియు సాధారణంగా అదే లేకపోతుంది. రేఖాచిత్రంలో మూడు నిర్ణయ బిందువులను గుర్తించడం సంభాషణను ఒకసారి వాటిలో ఒకదానిపై ఉంచుతుంది.

ఎంపిక A: VPN సర్వర్లో అనువాదం

ఇక్కడ సర్వర్ ప్యాకెట్ను రౌటర్కు అప్పగించే ముందు క్లయింట్ యొక్క మూలాన్ని తన సొంత LAN చిరునామాకు అనువదిస్తుంది, రౌటర్ బయటకు వెళ్లే మార్గంలో తన సాధారణ అనువాదాన్ని వర్తింపజేస్తుంది. జవాబులో రౌటర్ యొక్క మ్యాపింగ్ సర్వర్ చిరునామాను పునరుద్ధరిస్తుంది, సర్వర్ యొక్క మ్యాపింగ్ క్లయింట్ చిరునామాను పునరుద్ధరిస్తుంది. వరుసగా రెండు స్థితి కలిగిన అనువాదాలు సాధారణమైనవి మరియు సాధ్యమైనవి, రెండూ నమోదు చేయబడితే; రౌటర్కు ఎప్పుడూ పూల్కు మార్గం అవసరం లేదు, అదే ఈ ఏర్పాటు యొక్క ఆకర్షణ.

Get-RemoteAccess | Select-Object VpnS2SInterface, RoutingDomain
Get-NetNat | Select-Object Name, InternalIPInterfaceAddressPrefix

NAT ఉందని ఊహించడం బదులు సర్వర్ వద్ద ఇప్పటికే ఏమి ఉందో చూడటానికి ఈ పఠనాలను ఉపయోగించండి. బ్లాగ్ నుండి కాపీ చేసిన Linux masquerade నియమం Windows కాన్ఫిగరేషన్ కాదు, మరియు VPN శ్రోతకు హోస్ట్ ఫైర్వాల్లోని అనుమతి క్లయింట్ అభ్యర్థనను ముందుకు పంపే అనుమతికి సమానమైన విధానం కాదు. సర్వర్ యొక్క ఫార్వార్డింగ్ పాత్రను దాని సొంత నిర్వహణ ఇంటర్ఫేస్ నుండి నిర్ధారించి, తర్వాత అనువాదాన్ని విడిగా చూడండి, ఎందుకంటే రెండింటినీ తరచుగా అమలు యొక్క వేర్వేరు భాగాలు ప్రారంభిస్తాయి.

ఎంపిక B: పూల్ను రౌటర్కు తీసుకెళ్లడం

రెండవ ఏర్పాటులో సర్వర్ క్లయింట్ యొక్క నిజమైన మూల చిరునామాను ముందుకు పంపుతుంది, రౌటర్ దాన్ని అనువదిస్తుంది. ఇది క్లయింట్ పూల్ను అంచున కనిపించేలా ఉంచుతుంది, ట్రాఫిక్ విధానం, లాగింగ్ లేదా తనిఖీ రౌటర్లో ఉన్నట్లయితే అది సహాయపడుతుంది. అలాగే రౌటర్కు 10.70.0.0/24 కోసం 172.16.40.10 వైపు చూపే తిరిగి వచ్చే మార్గం, అదనంగా ఆ ప్రిఫిక్స్ను నిజంగా కలిగి ఉన్న ఇంటర్నెట్ విధానం కూడా అవసరమని దీని అర్థం; LAN సబ్నెట్ కోసం రాసిన నియమం నిశ్శబ్దంగా పూల్ వరకు విస్తరించదు.

అంచు పరికరమే ఉద్దేశించిన విధాన యజమాని అయినప్పుడు మరియు దాని రూటింగ్, అనువాద పట్టికల్లో మరో ప్రిఫిక్స్ను అంగీకరించగలిగినప్పుడు దీన్ని ఎంచుకోండి. పూల్ పైన కనిపించకుండా ఉండాల్సినప్పుడు మరియు రౌటర్ను అదే బృందం నిర్వహించనప్పుడు సర్వర్ వైపు అనువాదాన్ని ఎంచుకోండి. ఏ ఎంపిక క్లయింట్లోని ఏ చెక్బాక్స్ నుండి సూచించబడదు, ఏదీ సాధారణంగా ఎక్కువ సురక్షితం కాదు; అవి దృశ్యమానతను మరియు నిర్వహణను వేర్వేరు ప్రదేశాల్లో ఉంచుతాయి.

DNS, IPv6 మరియు అంగీకారాన్ని స్పష్టం చేయండి

చిరునామా అనువాదం పేరు పరిష్కారాన్ని సరిచేయదు. క్లయింట్ VPN ప్రొఫైల్తో అందించిన పరిష్కర్తను, నిర్దిష్ట పేరు స్థలాల కోసం ప్రైవేట్ పరిష్కర్తను, లేదా ఆమోదించబడిన పబ్లిక్ ఒకటి ఉపయోగించవచ్చు, మరియు ఆ విధానం కింద చేరుకోలేని పరిష్కర్త రూటింగ్ పనిచేసిన తర్వాత కూడా విఫలమవుతూనే ఉంటుంది. పేరు మరియు చిరునామాను విడివిడిగా పరీక్షించండి, రెండు వైఫల్యాలు ఎప్పుడూ ఒకే నివేదికలో కలవకుండా.

IPv6 కి రూపకల్పనలో దాని సొంత పేరా అవసరం. పనిచేసే IPv4 అనువాదం IPv6 క్లయింట్లకు మార్గం, చెల్లుబాటు అయ్యే పబ్లిక్ మూలం లేదా సొరంగం పడిపోయినప్పుడు వాటిని నిరోధించే విధానం ఉందా అనే దాని గురించి ఏమీ చెప్పదు. దాన్ని చెప్పకుండా వదిలేయడం అంటే సగం క్లయింట్లు నిశ్శబ్దంగా గేట్వేను దాటవేస్తారు మరియు మిగిలిన సగం పనిచేస్తాయి.

అంగీకారం కోసం, అనుమతించబడిన ఒక క్లయింట్ అభ్యర్థనను మరియు దాని జవాబును రెండు సరిహద్దుల ద్వారా అనుసరించి, ఆ క్షణంలో ప్రతి సరిహద్దు ఏ చిరునామాను చూడాలో రాయండి. ఆ నమోదే తదుపరి పూల్ మార్పును, తప్పిపోయిన తిరిగి వచ్చే మార్గం ఎవరి సొంతం అనే వాదనకు బదులు ఐదు నిమిషాల మార్పుగా మారుస్తుంది. నమోదును టికెట్లో కాదు, క్లయింట్ ప్రొఫైల్తో పాటు ఉంచండి, ఎందుకంటే తదుపరి ఇంజనీర్ మొదట కనుగొనేది ప్రొఫైల్.