Ikkala uchida bir xil quyi tarmoq: masofaviy LAN-ni bo'sh diapazonga xaritalang
Mijoz tomonidagi manzil xaritalash bir-biriga tushib qolgan masofaviy LAN-ni bo'sh diapazon ostida taqdim etishi mumkin, lekin uni faqat ayrim mijozlar qo'llaydi va qaytish yo'li baribir mavjud bo'lishi kerak.
Uy va ofis ikkalasi ham 192.168.1.0/24 dan foydalanadi, shuning uchun 192.168.1.1 ga so'rovning ikkita mumkin javobi bor va mijoz so'ramasdan birini tanlaydi. Ishlab turgan ofis tarmog'ini qayta raqamlash kamdan-kam yoqadi, router manzillari esa ko'pincha printerlar, kameralar va hujjatlarga singib ketgan. Mijoz tomonidagi manzil xaritalash o'rniga masofaviy tarmoqni bo'sh diapazon ostida taqdim etishi mumkin, host qismi esa o'zgarmas qolishi mumkin, shunda 192.168.1.20 10.203.41.20 sifatida ko'rinadi. Muammo shundaki, uni faqat ayrim mijozlar amalga oshiradi va u qaytish yo'li uchun hech narsa qilmaydi.
Bir xil hostning ikki ko'rinishi
Xaritalash host qismini saqlaydi va faqat tarmoq qismini o'zgartiradi. Keyin o'sha mashina qayerda turganingizga qarab ikki manzilda javob beradi. Biror narsani sozlashdan oldin ikkala ustunni yozib qo'yish keyinchalik jurnallar va firewall qoidalarini noto'g'ri o'qishning oldini oladi.
| The application dials | The remote device is |
|---|---|
| 10.203.41.1 | 192.168.1.1 |
| 10.203.41.20 | 192.168.1.20 |
Uydagi mahalliy qurilmalar o'zlarining 192.168.1.x manzillarini saqlaydi va mashqning maqsadi ham shu. Qo'shni xonadagi printer yetib boriladigan bo'lib qoladi, ofis esa to'qnashmaydigan diapazon ostida ko'rinadi.
Argumentlar tartibi butun hiyladir
Variant yo'nalish, tarmoq va maska, hamda taxallus oladi: birinchi tarmoq mijoz ko'radigan narsa, taxallus server ko'radigan narsa. Masofaviy shlyuz ortida yashovchi resurslar uchun yo'nalish manzil shaklidir. Oxirgi argument taxallus deb atalgani uchun ikki tarmoqni teskari aylantirish ulanish ammo hech narsani xaritalamaydigan tunnel keltiradigan xatodir.
push "route 10.203.41.0 255.255.255.0"
push "client-nat dnat 10.203.41.0 255.255.255.0 192.168.1.0"Marshrut yangi diapazon uchun mijoz paketlarini tunnelga yuboradigan narsa; tarjima yo'lda manzilni qayta yozadi. 192.168.1.20 dan javob 10.203.41.20 ga qayta yoziladi, shunda mijozdagi soket izchil qoladi. Bitta host to'liq uzunlikdagi maska bilan xuddi shunday ishlaydi, faqat marshrut va xaritalash bir xil manzilni tasvirlasa.
Bu manzil xaritalash, port xaritalash emas. Bitta hostdagi ikki xizmatni u bilan ajratib bo'lmaydi, va IP manzillarni o'z yuklamasiga joylashtirgan protokol baribir haqiqiy manzillarni ko'radi.
Xaritalash qaytish yo'li yaratmaydi
Tarjima mijozda sodir bo'ladi, shuning uchun server javoblarni baribir tunnelga yo'naltirishi kerak va uning firewall'i ularga baribir ruxsat berishi kerak. Agar masofaviy shlyuz tunnel quyi tarmog'iga qanday yetishni bilmasa, so'rov keladi va javob noto'g'ri eshikdan chiqadi; xaritalash faqat nosozlikni mijoz muammosiga o'xshatadi.
Server tomonidagi qoidalar tarjimadan keyin serverda mavjud manzillarni tasvirlashi kerak, mijozga ko'rinadigan diapazonni emas. Taxallusni ruxsat qoidasiga ko'chirish bir tushdan keyinni behuda o'tkazadi, chunki o'sha tomondagi hech bir paket uni olib yurmaydi.
Mijoz marshrutlaydigan boshqa hech narsa bilan to'qnashmaydigan taxallus diapazonini tanlang: boshqa VPN, konteyner tarmog'i, ikkinchi ofis. Bu yerda to'qnashuv asl noaniqlikni boshqa raqam ostida qaytaradi va manzillar notanish ko'ringani uchun payqash qiyinroq.
Nomlar va yuklamalar tarjimadan omon qoladi
Haqiqiy 192.168.1.20 ga hal bo'ladigan host nomi brauzerni masofaviyga emas, mahalliy qurilmaga yuboradi, marshrutlash jadvali nima desa ham. Shaxsiy DNS javobi mijozga ko'rinadigan diapazonga ishora qilishi kerak, TLS sertifikati esa hali ham dastur kutgan nomni olib yuradi. Manzil bilan emas, nom bilan sinab ko'ring, chunki manzil ishlashi mumkin, nom esa jim noto'g'ri tomonga hal bo'lishi mumkin. Masofaviy shlyuz o'sha zonaga ham xizmat qilsa, uning o'z yozuvlariga ham mijozga ko'rinadigan diapazon kerak.
Qayta yo'naltirishlar, ichiga joylashtirilgan URL'lar va o'z manzilini yuklamada beradigan dasturlar hech bir paket xaritalashi tuzata olmaydigan tarzda buzilishi mumkin. Ularga dastur muammosi sifatida qarang va qayta raqamlash shart emas deb va'da berishdan oldin kuchni shunga yarasha o'lchang.
Majburiyat oldidan uchta tekshiruv
Birinchidan, mijoz amalga oshirilishini tasdiqlang. Community OpenVPN bu variantni qo'llab-quvvatlaydi; OpenVPN 3 kod bazasi uni qo'llab-quvvatlanmaydigan xususiyatlar qatoriga kiritadi, shuning uchun Connect uslubidagi mijozga surilgan profil uni shunchaki e'tiborsiz qoldirishi mumkin. Qabul qilinadigan va hech qachon qo'llanilmaydigan ko'rsatma xatodan ham yomonroq, chunki tunnel sog'lom ko'rinadi.
Ikkinchidan, marshrut va tarjimani yuqori batafsillikdagi qisqa diagnostika oynasi bilan alohida tekshiring, so'ngra ping o'rniga haqiqiy xizmatni sinab ko'ring. Uchinchidan, mahalliy router va masofaviy resurs mijozdan ajralib turadigan bo'lib qolishini tasdiqlang, chunki asl maqsad shu edi.
Agar mijoz tarjimani bajara olmasa, shlyuz tomondan yordam so'rang yoki qayta raqamlashni qabul qiling. Bir manzil uchun ko'proq marshrut qo'shish dizayn emas.