两个站点，一个子网：为每个站点构建别名视图

两个客户站点都运行 192.168.50.0/24，远程工程师需要访问各自同一地址上的打印机。任何路由技巧都无法单独解决这种歧义。每个站点都需要不同的地址视图，网关必须在转发任何内容之前从该视图中选择站点。

该方案有四部分：别名前缀、双向转换、叠加策略和名称。每一部分都必须与其他部分一致。

为每个站点选择一个别名前缀

为每个站点分配一个环境中其他任何人都不拥有的完整别名前缀。双站点方案可以把站点 A 的 192.168.50.0/24 映射到 172.21.10.0/24，把站点 B 相同的 LAN 映射到 172.21.20.0/24。要针对每个参与网络检查候选范围，包括云 VPC 和其他 VPN 池。私有地址空间被所有组织共用，因此某个范围属于 RFC 1918 并不说明它在这里是空闲的。

向远程用户发布别名，而不是原生子网。原生范围仍是本地事实。

双向转换

双向转换。目标映射在拥有该别名的站点把别名地址改写为原生地址。源映射把远程调用方改写为其他站点可以区分的别名。

静态一对一映射是确定性的，但这并不意味着实现是无状态的。反向转换可能依赖连接状态，故障切换或非对称路径会破坏忽略这一点的方案。具体适用哪一种由平台文档决定。

策略、选择器和路由生效的确切阶段因基于策略的 IPsec、基于路由的隧道和其他产品而异。请针对你实际运行的产品设计。

让方案贯穿叠加层

在中心辐射中，把每个别名前缀分配给拥有它的站点路径，并且只允许任务所需的传输。在网状中，每个相关对等端都需要相同的前缀和策略知识。添加隧道本身并不能解决地址歧义。

发布整个子网比发布单一服务范围更广。如果只需要少数机器或端口，访问规则应比映射更窄。

报头转换不会改写应用负载。重定向、配置文件中的嵌入地址和基于源的权限仍可能携带原生地址。要测试应用路径，而不只是 ping。ICMP 有回应只能证明映射存在，并不能说明应用是否接受别名。

修正每个调用方看到的名称

让维护名称的答案与调用方的视图一致。如果远程工程师解析主机名，应返回该站点的别名地址，而不是共享的原生范围。

在第一个维护窗口之前，按站点检查 DNS 视图。解析到原生子网的名称会把调用方送回方案本应消除的歧义中。

按站点记录并验证

从真实调用方分别验收每个站点，并确认是哪台机器应答。把原生地址、别名、所属网关和允许的服务一起记录下来。

当第三个站点带着相同的默认 LAN 出现时，正是这份清单保住了区分。基于策略的 IPsec NAT 指南记录了一种具体的转换模型；它并不是适用于所有平台的契约。