Siteden siteye VPN içindeki NAT ne zaman yerini hak eder

İki site de aynı özel aralığı kullanır ve tünel açılır ama içinden yararlı hiçbir şey geçmez. Çeviri olağan yanıttır ve gerçek bir yanıttır: uzak tarafa farklı bir aralık sunmak, bir çakışmayı veya diğer ağın yönlendiremediği bir dönüş yolunu çözebilir. Atlanan kısım, çevirinin sonraki her kararın gördüğü adresleri değiştirmesidir. Bunu yazılı bir eşleme ile belgelenmiş tasarım kararı olarak ele alın, ping başarılı olana kadar eklenen bir kural olarak değil.

Hangi adresin yeniden yazılacağına karar verin

Kaynak çevirisi, uzak hizmetin ve günlüklerinin istemci olarak ne gördüğünü değiştirir, bu nedenle şube ana bilgisayarı geldiğinde ağ geçidi adresi olur. Hedef veya önek çevirisi bunun yerine uzak bir kaynak için alternatif bir adres sunar. Bazı kurulumlar, aksi halde aynı olan iki ağı ayırmak için her iki tarafta koordineli çeviri gerektirir ve karışıklığın çoğu bu birleşimde başlar.

Çeviriden önceki kaynağı, uygulamanın adlandırdığı hedefi ve her ağ geçidinin eşleştiği adres çiftini yazın. Üç sütun yeterlidir ve üçüncü sütun insanların atladığı sütundur.

Seçicilerin sırası da önemlidir. IPsec ilkesi seçimi ve çeviri tanımlı aşamalarda gerçekleşir, bu nedenle çeviriden önceki adresler için yazılmış bir seçici varsaydığınız aşamada paketle hiç eşleşmeyebilir. Kurulu ilkeyi denetleyin, kurmayı amaçladığınız ilkeyi değil, çünkü ikisi tam olarak bir kural bir bileşen tarafından kabul edilip diğeri tarafından yok sayıldığında ayrışır:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Yükü ve dönüş yolunu izleyin

Çevrilmiş kaynağı tek tek şube ana bilgisayarı yerine günlüğe kaydeden bir sunucu, özgün adrese bağlı her kuralı veya raporu bozar. Eşlemeyi değiştirmeden önce, aşağı akışta bir şeyin bu alandan karar verip vermediğini öğrenin: erişim listeleri, denetim raporları, hız sınırları, lisans kontrolleri. Bunların her biri, çevirinin daha sonra açıklanamayan bir arıza olarak ortaya çıktığı yerdir.

Adresleri kendi yüklerinin içinde taşıyan protokoller ayrı planlama gerektirir, çünkü dış başlığın yeniden yazılması iç referansa dokunmaz. Etkin FTP, SIP ve bazı uzaktan erişim ürünleri klasik durumlardır ve bunları yok sayan bir tasarım web trafiği için çalışır, önemli olan uygulama için başarısız olur.

Dönüş trafiği durumlu eşlemelere bağlıdır. Ağ geçidi yük devri bu durumu kaybedebilir, asimetrik yönlendirme onu atlayabilir ve uzak tarafta oturumlar açık kalırken yeniden başlatma onu silebilir. Bu nedenle hedefe ulaşan bir istek ile tamamlanan bir oturum iki farklı kabul sonucudur.

Bir siteyi yeniden numaralandırmaya karşı tartın

Çakışan tek bir siteyi yeniden numaralandırmak eşlemeyi tamamen kaldırır ve çeviri tabloları olmadan okunabilen bir adres planı bırakır. Operasyonel olarak pahalıdır: DNS kayıtları, statik atamalar, güvenlik duvarı kuralları ve belgelenmiş her adres birlikte değişmelidir. Maliyet bir kez, planlanmış bir pencerede, net bir son durumla ortaya çıkar. Satın aldığınız şey, yıllar sonra bir paket yakalamayı arama tablosu olmadan okuma yeteneğidir.

Çeviri yerel değişikliklerin çoğundan kaçınır ve DNS, belge ve sorun giderme içinde sonsuza dek sürdürülmesi gereken bir eşleme yaratır. Maliyet sürekli olarak, tünelin içinde bir önekin başka bir anlama geldiğini öğrenmesi gereken her gelecekteki mühendis biçiminde ortaya çıkar.

Geçici bir bağlantı veya kontrol etmediğiniz bir iş ortağı ağı için sürekli maliyet genellikle değer. Sahip olduğunuz ve yıllarca sahip olacağınız iki site için, geçiş dürüstçe hesaplandığında yeniden numaralandırma genellikle daha ucuz karardır.

Her iki yönü gerçek bir oturumla kanıtlayın

Tek bir sonda yerine bir uygulama oturumu test edin. Başarılı bir yankı isteği, bir protokolün bir yönünün çalıştığını kanıtlar ve durumlu her şey için başarısız olan bir dönüş yoluyla tamamen uyumludur. Tasarımı harekete geçiren hizmeti kullanın ve hangi kaynak adresini kaydettiğini görmek için uzak uçtaki günlüğünü okuyun.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Ardından eşleme üzerinden yalnızca amaçlanan hizmetlere erişilebildiğini doğrulayın. Çeviri adreslemeyi değiştirir ve yetkilendirme için hiçbir şey yapmaz, bu nedenle neyin izinli olduğuna hâlâ güvenlik duvarı ilkesi karar verir. Erişim denetimi olarak belirsiz çevrilmiş bir öneke güvenen bir tasarımın hiç erişim denetimi yoktur.

Eşlemeyi, test edilen oturumu ve her iki tarafın gözlemlediği adresleri kaydedin. Bu tünelde hata ayıklayacak bir sonraki kişi, yapılandırma dosyasından çok o üç gerçeğe ihtiyaç duyar.