Her iki uçta aynı alt ağ: uzak LAN'ı boş bir aralığa eşleyin

Ev ve ofis ikisi de 192.168.1.0/24 kullanıyor, bu yüzden 192.168.1.1'e giden isteğin iki olası yanıtı vardır ve istemci sormadan birini seçer. Çalışan bir ofis ağını yeniden numaralandırmak nadiren sevilir ve yönlendirici adresleri genellikle yazıcılara, kameralara ve belgelere gömülüdür. İstemci tarafındaki adres eşlemesi bunun yerine uzak ağı boş bir aralık altında sunabilir ve ana bilgisayar kısmı aynı kalabilir, böylece 192.168.1.20, 10.203.41.20 olarak görünür. Püf noktası, bunu yalnızca bazı istemcilerin uygulaması ve dönüş yolu için hiçbir şey yapmamasıdır.

Aynı ana bilgisayarın iki görünümü

Eşleme ana bilgisayar kısmını korur ve yalnızca ağ kısmını değiştirir. Aynı makine sonra nerede durduğunuza bağlı olarak iki adreste yanıt verir. Herhangi bir şeyi yapılandırmadan önce iki sütunu da yazmak, günlüklerin ve güvenlik duvarı kurallarının sonradan yanlış okunmasını önler.

Evdeki yerel aygıtlar kendi 192.168.1.x adreslerini korur ve alıştırmanın amacı da budur. Yan odadaki yazıcı erişilebilir kalırken ofis çakışmayan bir aralık altında görünür.

Argüman sırası bütün hiledir

Seçenek bir yön, bir ağ ve maske ile bir diğer ad alır: ilk ağ istemcinin gördüğüdür, diğer ad sunucunun gördüğüdür. Uzak ağ geçidinin arkasında yaşayan kaynaklar için yön, hedef biçimidir. Son argüman diğer ad olarak adlandırıldığı için iki ağı ters çevirmek, bağlanan ama hiçbir şeyi eşlemeyen bir tünel üreten hatadır.

push "route 10.203.41.0 255.255.255.0"
push "client-nat dnat 10.203.41.0 255.255.255.0 192.168.1.0"

Yol, istemcinin yeni aralık için paketlerini tünele gönderen şeydir; çeviri hedefi yolda yeniden yazar. 192.168.1.20'den gelen yanıt 10.203.41.20'ye geri yazılır, böylece istemcideki soket tutarlı kalır. Tek bir ana bilgisayar tam uzunlukta maskeyle aynı şekilde çalışır, yeter ki yol ve eşleme aynı adresi tanımlasın.

Bu bir adres eşlemesidir, bağlantı noktası eşlemesi değil. Bir ana bilgisayardaki iki hizmet bununla ayrılamaz ve IP adreslerini taşıma yüküne gömen bir protokol yine de gerçek olanları görür.

Eşleme bir dönüş yolu oluşturmaz

Çeviri istemcide gerçekleşir, bu yüzden sunucu yanıtları yine de tünele yönlendirmeli ve güvenlik duvarı bunlara yine de izin vermelidir. Uzak ağ geçidi tünelin alt ağına nasıl ulaşacağını bilmiyorsa istek gelir ve yanıt yanlış kapıdan çıkar; eşleme yalnızca arızayı istemci sorunu gibi gösterir.

Sunucu tarafındaki kurallar, çeviriden sonra sunucuda var olan adresleri tanımlamalıdır, istemcinin gördüğü aralığı değil. Diğer adı bir izin kuralına kopyalamak bir öğleden sonrayı harcar, çünkü o taraftaki hiçbir paket onu taşımaz.

İstemcinin yönlendirdiği başka hiçbir şeyle çakışmayan bir diğer ad aralığı seçin: başka bir VPN, bir konteyner ağı, ikinci bir ofis. Buradaki çakışma özgün belirsizliği farklı bir numara altında geri getirir ve adresler yabancı göründüğü için fark etmesi daha zordur.

Adlar ve taşıma yükleri çeviriden sağ çıkar

Gerçek 192.168.1.20'ye çözülen bir ana bilgisayar adı, yönlendirme tablosu ne derse desin tarayıcıyı uzak aygıt yerine yerel aygıta gönderir. Özel DNS yanıtı istemcinin gördüğü aralığa işaret etmelidir, TLS sertifikası ise uygulamanın beklediği adı taşımaya devam eder. Adres yerine adla test edin, çünkü adres çalışırken ad sessizce yanlış yöne çözülebilir. Uzak ağ geçidi o bölgeye de hizmet ediyorsa, kendi kayıtları da istemcinin gördüğü aralığa ihtiyaç duyar.

Yönlendirmeler, gömülü URL'ler ve kendi adresini taşıma yükünde veren uygulamalar hiçbir paket eşlemesinin onaramayacağı şekillerde bozulabilir. Bunları bir uygulama sorunu olarak ele alın ve yeniden numaralandırmanın gereksiz olduğuna söz vermeden önce çabayı buna göre ölçün.

Taahhütten önce üç kontrol

Birincisi, istemci uygulamasını doğrulayın. Community OpenVPN bu seçeneği destekler; OpenVPN 3 kod tabanı onu desteklenmeyen özellikler arasında listeler, bu yüzden Connect tarzı bir istemciye itilen bir profil onu kolayca yok sayabilir. Kabul edilip hiç uygulanmayan bir direktif hatadan daha kötüdür, çünkü tünel sağlıklı görünür.

İkincisi, yolu ve çeviriyi yüksek ayrıntıda kısa bir tanılama penceresiyle ayrı ayrı doğrulayın, ardından ping yerine gerçek hizmeti test edin. Üçüncüsü, yerel yönlendiricinin ve uzak kaynağın istemciden ayırt edilebilir kaldığını doğrulayın, çünkü asıl hedef buydu.

İstemci çeviriyi yapamıyorsa ağ geçidi tarafından yardım isteyin veya yeniden numaralandırmayı kabul edin. Aynı adres için daha fazla yol eklemek bir tasarım değildir.