NAT sa VPN Server o sa Router? Pareho silang maaaring gumana

Ang pagmarka ng koneksyon bilang default na ruta sa laptop ang hakbang na natatandaan ng lahat, at ito ang hindi nagbabago ng anuman sa gateway. Ipinapadala na ngayon ng kliyente ang mga kahilingan sa internet papasok sa tunnel; kung lalabas ang mga ito sa gusali ay nakasalalay sa pagpapasa, sa isang punto ng pagsasalin at sa daan pabalik na umaabot sa pribadong address ng kliyente. Maaaring ibigay ng dalawang kaayusan ang tatlo, inilalagay nila ang trabaho sa magkaibang lugar, at parehong nabigo sa parehong tahimik na paraan kapag walang may-ari ng direksyon ng sagot. Ang pagpili sa pagitan nila ay tanong kung sino ang dapat makakita ng pool ng kliyente.

Ang mito: ang ruta ng kliyente ay gumagawa ng labasan

Ang sapilitang tunneling ay patakaran sa panig ng kliyente: pinagpapasyahan nito na ang trapiko ay pupunta sa VPN adapter kaysa sa pisikal. Inilalarawan ng dokumentasyon ng Microsoft sa routing ng VPN ang paghahati at sapilitang pag-uugali na iyon, at ito ay pahayag tungkol sa talahanayan ng ruta ng kliyente, hindi tungkol sa mga patakaran ng pagpapasa ng server. Mula sa pananaw ng kliyente ang tunnel ang lugar kung saan nakatira ang internet; mula sa pananaw ng gateway may dumating na packet mula sa isang address na walang sinuman sa itaas ang nakarinig kailanman. Wala sa dalawang panig ang maling naka-configure nang mag-isa, at iyon ang dahilan kung bakit ang pagkabigo ay mukhang sirang server sa taong nasa laptop.

Ang hindi pagtutugma na iyon ang buong problema na nilulutas ng natitirang bahagi ng artikulong ito. May isang bagay na dapat gumawa sa pribadong address ng kliyente na maibabalik, at ang pagpili ay kung saan.

Iguhit muna ang daan pabalik

Isulat ang daan gamit ang tunay na address bago hawakan ang anumang setting, at markahan ang dalawang posibleng punto ng pagsasalin dito. Gumagamit ang lab na ito ng pool ng VPN na 10.70.0.0/24 na may isang kliyente sa 10.70.0.37, address ng LAN ng server sa 172.16.40.10, router sa 172.16.40.1 at pampublikong labasan sa 203.0.113.40.

client 10.70.0.37 -- tunnel --> RRAS 172.16.40.10 -- LAN --> router 172.16.40.1 --> 203.0.113.40
                                  (translate here?)                             (or here?)

Ang server na nagba-browse na ng internet ay nagpapatunay lamang ng sarili nitong daan. Ang packet na ipinapasa sa ngalan ng kliyente ay ibang desisyon, na ginagawa ng patakaran ng pagpapasa sa parehong makina, at iyon ang karaniwang nawawala. Ang pagmarka ng tatlong punto ng desisyon sa diagram ay nagpapanatili ng usapan tungkol sa isa sa kanila sa isang pagkakataon.

Opsyon A: isalin sa VPN server

Dito isinasalin ng server ang pinagmulan ng kliyente sa sarili nitong address ng LAN bago ibigay ang packet sa router, at inilalapat ng router ang karaniwang pagsasalin nito sa labasan. Sa sagot, ibinabalik ng pagmamapa ng router ang address ng server, at ibinabalik ng pagmamapa ng server ang address ng kliyente. Ang dalawang pagsasaling may estado na magkasunod ay normal at magagawa, basta't parehong naitala; hindi kailanman kailangan ng router ng ruta patungo sa pool, at iyon ang kaakit-akit sa kaayusang ito.

Get-RemoteAccess | Select-Object VpnS2SInterface, RoutingDomain
Get-NetNat | Select-Object Name, InternalIPInterfaceAddressPrefix

Gamitin ang mga pagbasa para makita kung ano ang mayroon na ang server sa halip na ipalagay na may NAT. Ang patakaran ng masquerade sa Linux na kinopya mula sa blog ay hindi configuration ng Windows, at ang pahintulot sa firewall ng host para sa tagapakinig ng VPN ay hindi kaparehong patakaran ng pahintulot na ipasa ang kahilingan ng kliyente. Kumpirmahin ang papel ng pagpapasa ng server mula sa sarili nitong interface ng pamamahala, pagkatapos ay tingnan ang pagsasalin nang hiwalay, dahil madalas na iba't ibang bahagi ng deployment ang nagpapagana sa dalawa.

Opsyon B: dalhin ang pool sa router

Sa ikalawang kaayusan ipinapasa ng server ang tunay na address ng pinagmulan ng kliyente, at isinasalin ito ng router. Pinapanatili nitong nakikita ang pool ng kliyente sa gilid, na nakakatulong kung ang router ang lugar kung saan nakatira ang patakaran ng trapiko, pag-log o inspeksyon. Nangangahulugan din ito na kailangan ng router ng daan pabalik para sa 10.70.0.0/24 na tumuturo sa 172.16.40.10, kasama ang patakaran sa internet na talagang kasama ang prefix na iyon; ang patakarang isinulat para sa subnet ng LAN ay hindi tahimik na umaabot sa pool.

Piliin ito kapag ang aparato sa gilid ang inaasahang may-ari ng patakaran at maaaring tumanggap ng isa pang prefix sa mga talahanayan ng routing at pagsasalin nito. Piliin ang pagsasalin sa panig ng server kapag ang pool ay dapat manatiling hindi nakikita sa itaas at ang router ay hindi pinamamahalaan ng parehong koponan. Wala sa mga opsyon ang ipinahihiwatig ng anumang checkbox sa kliyente, at wala sa kanila ang mas ligtas sa pangkalahatan; inilalagay nila ang visibility at maintenance sa magkaibang lugar.

Gawing tahasan ang DNS, IPv6 at pagtanggap

Ang pagsasalin ng address ay hindi nag-aayos ng paglutas ng pangalan. Maaaring gumamit ang kliyente ng resolver na ibinigay kasama ng profile ng VPN, pribadong resolver para sa mga partikular na namespace, o aprubadong pampubliko, at ang resolver na hindi maabot sa ilalim ng patakarang iyon ay patuloy na mabibigo pagkatapos gumana ang routing. Subukan ang pangalan at address nang hiwalay upang ang dalawang pagkabigo ay hindi kailanman magsanib sa isang ulat.

Kailangan ng IPv6 ang sarili nitong talata sa disenyo. Ang gumaganang pagsasalin ng IPv4 ay walang sinasabi tungkol sa kung ang mga kliyente ng IPv6 ay may ruta, wastong pampublikong pinagmulan o patakarang humaharang sa kanila kapag bumagsak ang tunnel. Ang hindi pagsasabi nito ay nangangahulugan na kalahati ng mga kliyente ay tahimik na lumalampas sa gateway habang gumagana ang kabilang kalahati.

Para sa pagtanggap, sundan ang isang pinapayagang kahilingan ng kliyente at ang sagot nito sa dalawang hangganan, at isulat kung aling address ang dapat makita ng bawat hangganan sa sandaling iyon. Ang talaang iyon ang gumagawa sa susunod na pagbabago ng pool na isang limang minutong pag-edit sa halip na pagtatalo kung sino ang may-ari ng nawawalang daan pabalik. Itago ang talaan kasama ng profile ng kliyente sa halip na sa isang tiket, dahil ang profile ang unang hahanapin ng susunod na inhinyero.