Kailan karapat-dapat ang NAT sa loob ng VPN na site-to-site

Parehong gumagamit ang dalawang site ng parehong pribadong saklaw, at bumabangon ang tunnel habang walang kapaki-pakinabang na tumatawid dito. Ang salin ang karaniwang sagot, at tunay itong sagot: ang pagpapakita ng ibang saklaw sa malayong panig ay maaaring malutas ang isang pagpapatong o return path na hindi kayang i-route ng kabilang network. Ang bahaging nilalaktawan ay binabago ng salin ang mga address na nakikita ng bawat susunod na desisyon. Ituring itong dokumentadong desisyon sa disenyo na may nakasulat na pagmamapa, hindi bilang patakarang idinadagdag hanggang maging matagumpay ang ping.

Magpasya kung aling address ang muling isusulat

Binabago ng source translation ang nakikita ng malayong serbisyo at ng mga log nito bilang kliyente, kaya ang host ng sangay ay nagiging address ng gateway pagdating. Ang destination o prefix translation ay nagpapakita ng alternatibong address para sa malayong resource. Kailangan ng ilang deployment ng koordinadong salin sa magkabilang panig upang paghiwalayin ang dalawang network na kung hindi ay magkapareho, at sa kombinasyon nagsisimula ang karamihan ng kalituhan.

Isulat ang pinagmulan bago ang salin, ang destinasyon ayon sa tawag ng aplikasyon, at ang pares ng address na tinutugma ng bawat gateway. Sapat ang tatlong kolum, at ang ikatlong kolum ang madalas iwanan ng mga tao.

Mahalaga rin ang pagkakasunod-sunod ng mga selector. Nagaganap ang pagpili at salin ng patakarang IPsec sa tinukoy na mga yugto, kaya ang selector na isinulat para sa mga address bago ang salin ay maaaring hindi kailanman tumugma sa packet sa yugtong inakala mo. Suriin ang patakarang naka-install sa halip na ang patakarang balak mong i-install, dahil nagkakaiba ang dalawa kapag tinanggap ng isang bahagi ang tuntunin at binabalewala ito ng isa pa:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Sundin ang payload at ang return path

Ang server na nagtatala ng naisaling pinagmulan sa halip na ang indibidwal na host ng sangay ay sisira sa anumang tuntunin o ulat na nakatali sa orihinal na address. Bago baguhin ang pagmamapa, alamin kung may bagay sa ibaba na nagpapasya batay sa field na iyon: mga listahan ng access, ulat ng audit, limitasyon sa bilis, pagsusuri ng lisensya. Ang bawat isa ay lugar kung saan lumilitaw ang salin mamaya bilang hindi maipaliwanag na pagkasira.

Ang mga protocol na nagdadala ng address sa loob ng kanilang payload ay nangangailangan ng hiwalay na pagpaplano, dahil hindi naaabot ng muling pagsulat ng panlabas na header ang panloob na sanggunian. Ang active FTP, SIP at ilang produkto ng remote access ang mga klasikong kaso, at ang disenyong nagbabalewala sa kanila ay gagana sa web traffic at mabibigo sa aplikasyong mahalaga.

Ang return traffic ay nakasalalay sa mga stateful mapping. Maaaring mawala ng failover ng gateway ang estadong iyon, maaaring laktawan ito ng asymmetric routing, at maaaring burahin ito ng restart habang nananatiling bukas ang mga session sa malayong panig. Kaya nga ang kahilingang umabot sa destinasyon at ang sesyong natapos ay dalawang magkaibang resulta ng pagtanggap.

Timbangin ito laban sa muling pagbilang ng site

Ang muling pagbilang ng isang salungat na site ay ganap na nag-aalis ng pagmamapa at nag-iiwan ng planong address na mababasa nang walang mga talahanayan ng salin. Mahal ito sa operasyon: ang mga rekord ng DNS, static na pagtatalaga, patakaran ng firewall at bawat dokumentadong address ay dapat magbago nang sama-sama. Isang beses dumarating ang gastos, sa planong window, na may malinaw na huling estado. Ang binibili mo ay ang kakayahang basahin ang packet capture pagkalipas ng mga taon nang walang lookup table.

Iniiwasan ng salin ang karamihan ng lokal na pagbabago at lumilikha ng pagmamapa na dapat panatilihin sa DNS, dokumentasyon at pag-troubleshoot magpakailanman. Tuluy-tuloy ang gastos, sa anyo ng bawat susunod na inhinyero na kailangang matutunan na ang isang prefix ay may ibang kahulugan sa loob ng tunnel.

Para sa pansamantalang koneksyon o network ng kasosyo na hindi mo kontrolado, karaniwang sulit ang tuluy-tuloy na gastos. Para sa dalawang site na pagmamay-ari mo at pagmamay-ari mo nang maraming taon, ang muling pagbilang ay madalas ang mas murang desisyon kapag tapat na binilang ang migrasyon.

Patunayan ang parehong direksyon sa tunay na session

Subukan ang session ng aplikasyon sa halip na isang probe. Ang matagumpay na echo request ay nagpapatunay na gumagana ang isang direksyon ng isang protocol, at lubos itong tugma sa return path na nabibigo para sa anumang may estado. Gamitin ang serbisyong nag-udyok sa disenyo, at basahin ang log nito sa dulong malayo upang makita kung aling source address ang naitala.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Pagkatapos, tiyakin na tanging ang nilalayong serbisyo ang maabot sa pamamagitan ng pagmamapa. Binabago ng salin ang pag-address at wala itong ginagawa para sa awtorisasyon, kaya ang patakaran ng firewall pa rin ang nagpapasya kung ano ang pinapayagan. Ang disenyong umaasa sa malabong naisaling prefix bilang kontrol sa access ay walang kontrol sa access.

Itala ang pagmamapa, ang nasubukang session at ang mga address na naobserbahan ng bawat panig. Ang susunod na taong magde-debug ng tunnel na ito ay mas kailangan ang tatlong katotohanang iyon kaysa sa configuration file.