Saytlar orasidagi VPN ichida NAT qachon o‘z o‘rnini oladi

Ikkala sayt ham bir xil shaxsiy diapazondan foydalanadi va tunnel ko‘tariladi, lekin undan hech qanday foydali narsa o‘tmaydi. Tarjima odatiy javob va bu haqiqiy javob: uzoq tomonga boshqa diapazonni ko‘rsatish ustma-ust tushishni yoki boshqa tarmoq marshrutlay olmaydigan qaytish yo‘lini hal qilishi mumkin. O‘tkazib yuboriladigan qism shundaki, tarjima har bir keyingi qaror ko‘radigan manzillarni o‘zgartiradi. Bunga yozma xaritalash bilan hujjatlashtirilgan dizayn qarori sifatida munosabatda bo‘ling, ping muvaffaqiyatli bo‘lgunga qadar qo‘shiladigan qoida sifatida emas.

Qaysi manzil qayta yozilishini aniqlang

Manba tarjimasi uzoq xizmat va uning jurnallari mijoz sifatida kimni ko‘rishini o‘zgartiradi, shuning uchun filial xosti kelganda shlyuz manziliga aylanadi. Manzil yoki prefiks tarjimasi esa uzoq resurs uchun muqobil manzilni taqdim etadi. Ba'zi joylashtirishlar ikkita boshqa jihatdan bir xil tarmoqni ajratish uchun ikki tomonda muvofiqlashtirilgan tarjimani talab qiladi va chalkashlikning ko‘p qismi shu birikmadan boshlanadi.

Tarjimadan oldingi manbani, ilova ataydigan manzilni va har bir shlyuz mos keladigan manzil juftini yozing. Uchta ustun yetarli, uchinchi ustun esa odamlar tashlab ketadigan ustundir.

Selektorlar tartibi ham muhim. IPsec siyosatini tanlash va tarjima qilish belgilangan bosqichlarda sodir bo‘ladi, shuning uchun tarjimadan oldingi manzillar uchun yozilgan selektor siz taxmin qilgan bosqichda paketga hech qachon mos kelmasligi mumkin. O‘rnatilgan siyosatni tekshiring, o‘rnatmoqchi bo‘lgan siyosatni emas, chunki ikkalasi bir komponent qoidani qabul qilib, boshqasi uni e'tiborsiz qoldirganda aynan ajralib chiqadi:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

Foydali yuk va qaytish yo‘lini kuzatib boring

Tarjima qilingan manbani alohida filial xosti o‘rniga qayd etadigan server asl manzilga bog‘langan har qanday qoida yoki hisobotni buzadi. Xaritalashni o‘zgartirishdan oldin quyi oqimda biror narsa o‘sha maydondan qaror qabul qiladimi-yo‘qmi aniqlang: kirish ro‘yxatlari, audit hisobotlari, tezlik cheklovlari, litsenziya tekshiruvlari. Ularning har biri tarjima keyinroq tushuntirib bo‘lmaydigan nosozlik sifatida ko‘rinadigan joy.

Manzillarni o‘z foydali yuki ichida olib yuruvchi protokollar alohida rejalashtirishni talab qiladi, chunki tashqi sarlavhani qayta yozish ichki havolaga tegmaydi. Faol FTP, SIP va ba'zi masofaviy kirish mahsulotlari klassik holatlardir va ularni e'tiborsiz qoldiradigan dizayn veb-trafik uchun ishlaydi, muhim bo‘lgan ilova uchun esa muvaffaqiyatsiz bo‘ladi.

Qaytish trafigi holatli xaritalashlarga bog‘liq. Shlyuzning nosozligi bu holatni yo‘qotishi mumkin, assimetrik marshrutlash uni chetlab o‘tishi mumkin va qayta ishga tushirish uni o‘chirishi mumkin, sessiyalar uzoq tomonda ochiq qoladi. Shuning uchun manzilga yetib boradigan so‘rov va tugallanadigan sessiya ikki xil qabul natijasidir.

Buni saytni qayta raqamlash bilan qiyoslang

Bitta ziddiyatli saytni qayta raqamlash xaritalashni butunlay olib tashlaydi va tarjima jadvallarisiz o‘qiladigan manzil rejasini qoldiradi. Bu operatsion jihatdan qimmat: DNS yozuvlari, statik tayinlashlar, firewall qoidalari va har bir hujjatlashtirilgan manzil birgalikda o‘zgarishi kerak. Xarajat bir marta, rejalashtirilgan oynada, aniq yakuniy holat bilan keladi. Siz sotib oladigan narsa yillar o‘tib qidiruv jadvalisiz paket yozuvini o‘qish qobiliyatidir.

Tarjima ko‘pchilik mahalliy o‘zgarishlardan qochadi va DNS, hujjatlar va muammolarni hal qilishda abadiy saqlanishi kerak bo‘lgan xaritalashni yaratadi. Xarajat doimiy ravishda keladi, tunnel ichida bitta prefiks boshqa ma'noni bildirishini o‘rganishi kerak bo‘lgan har bir kelajak muhandisi ko‘rinishida.

Vaqtinchalik ulanish yoki siz boshqarmaydigan hamkor tarmog‘i uchun doimiy xarajat odatda arziydi. Sizga tegishli bo‘lgan va yillar davomida tegishli bo‘ladigan ikki sayt uchun migratsiya halol hisoblanganda qayta raqamlash ko‘pincha arzonroq qaror.

Ikkala yo‘nalishni haqiqiy sessiya bilan isbotlang

Bitta zond o‘rniga ilova sessiyasini sinang. Muvaffaqiyatli aks-sado so‘rovi bitta protokolning bitta yo‘nalishi ishlashini isbotlaydi va u holatli har qanday narsa uchun muvaffaqiyatsiz bo‘ladigan qaytish yo‘li bilan to‘liq mos keladi. Dizaynni turtki bergan xizmatdan foydalaning va uzoq uchidagi jurnalini o‘qib, qaysi manba manzilini qayd etganini ko‘ring.

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

Keyin xaritalash orqali faqat mo‘ljallangan xizmatlarga kirish mumkinligini tasdiqlang. Tarjima manzillashni o‘zgartiradi va avtorizatsiya uchun hech narsa qilmaydi, shuning uchun ruxsat etilgan narsani firewall siyosati hal qiladi. Noaniq tarjima qilingan prefiksga kirish nazorati sifatida tayanadigan dizaynda umuman kirish nazorati yo‘q.

Xaritalashni, sinovdan o‘tkazilgan sessiyani va har bir tomon kuzatgan manzillarni qayd eting. Bu tunnelni keyingi tuzatadigan odamga konfiguratsiya faylidan ko‘ra o‘sha uch fakt ko‘proq kerak.