NAT kullanarak bunu çözmek mümkündür; sadece çok zarif değil.
Bu nedenle, aslında hiçbir zaman çatışmaya girmeyecek kadar nadir ağ numaralarına sahip olan dahili ağlara sahip olarak bunu çözemezsiniz.
Hem yerel hem de uzak alt ağ aynı ağ numaralarına sahip olduğundan, istemcinizden gelen trafik, hedefine ulaşmak için tünel ağ geçidinden geçmesi gerektiğini asla bilemez. Ve yapabileceğimizi hayal etsek bile, durum uzaktaki ev sahibi için bir cevap göndermek üzere olduğu gibi olacaktır.
Öyleyse benimle kal ve henüz bağlantı kurarsam, tam bağlantı için NAT'ı tünelin içinde sonlandırman gerekecek, böylece ana bilgisayarları ayırt etmek ve yönlendirmeye izin vermek için yazman gerekecek gibi bir yan sorun olmadığını iddia et.
Burada bazı ağlar yapmak:
- Ofis ağınız 192.0.2.0/24 kullanıyor
- Uzak ofisiniz 192.0.2.0/24 kullanıyor
- Ofis ağınız VPN ağ geçidi, 192.0.2.0/24 ana bilgisayarlarını NATed ağ numarasının arkasına gizler. 198.51.100.0/24
- Uzak ofis ağınız VPN ağ geçidi, NAT3 ağ numarasının arkasındaki 192.0.2.0/24 anasistemi gizler. 203.0.113.0/24
Bu yüzden VPN tüneli içinde, ofis ana bilgisayarları şimdi 198.51.100.x ve uzak ofis ana bilgisayarları 203.0.113.x'tir. Ayrıca, tüm ana bilgisayarların kendi VPN ağ geçitlerinin NAT'larında 1: 1 ile eşlendiğini farz edelim. Bir örnek:
- Ofis ağınız ev sahibi 192.0.2.5/24, ofis vpn ağ geçidi NAT'ta 198.51.100.5/24 olarak statik olarak eşlenmiştir
- Uzak ofis ağınız ana bilgisayarı 192.0.2.5/24 uzak ofis vpn ağ geçidi NAT'ta statik olarak 203.0.113.5/24 olarak eşlenir
Bu nedenle, uzaktaki ofisteki 192.0.2.5/24 ana bilgisayarı, ofis ağındaki aynı ip ile ev sahibine bağlanmak istediğinde, bunu hedef olarak 198.51.100.5/24 adresini kullanarak yapması gerekir. Aşağıdaki olur:
- Uzak ofiste, ev sahibi 198.51.100.5, VPN üzerinden ulaşılan ve oraya yönlendirilen uzak bir varış noktasıdır.
- Uzak ofiste, ana bilgisayar 192.0.2.5, paket NAT işlevini geçerken 203.0.113.5 olarak maskelenir.
- Ofiste, ev sahibi 198.51.100.5, paket NAT işlevini geçerken 192.0.2.5'e çevrilir.
- Ofiste, 203.0.113.5 numaralı makineye geri dönüş trafiği ters yönde aynı süreçten geçer.
Dolayısıyla bir çözüm varken, bunun pratikte çalışması için ele alınması gereken birkaç sorun vardır:
- Maskeli IP, uzaktan bağlantı için kullanılmalıdır; DNS karmaşıklaşıyor. Bunun nedeni, bitiş noktalarının, bağlanan ana makineden görüldüğü gibi benzersiz bir IP adresine sahip olması gerektiğidir.
- NAT işlevinin her iki ucunun VPN çözümünün bir parçası olarak uygulanması gerekir.
- Ana bilgisayarların statik olarak haritalanması diğer taraftan ulaşılabilirlik için bir zorunluluktur.
- Trafik tek yönlü ise, yalnızca alıcı taraf tüm ilgili ana bilgisayarların statik eşlemesini gerektirir; müşteri istenirse dinamik olarak NATed olmaktan kurtulabilir.
- Trafik iki yönlü ise, her iki ucun da ilgili tüm ana bilgisayarların statik eşlemesine ihtiyacı vardır.
- İnternet bağlantısı, bölünmüş veya bölünmemiş VPN'den bağımsız olarak bozulmamalıdır.
- 1'e 1'i eşleyemezseniz dağınık hale gelir; Dikkatli defter tutma bir zorunluluktur.
- Doğal olarak, NAT adreslerini kullanma riski de vardır ki bu da çoğaltır :-)
Öyleyse bunu çözmek dikkatli bir tasarıma ihtiyaç duyar. Uzaktaki ofisiniz gerçekten yol savaşçılarından oluşuyorsa, buna bir sorun katmanı eklersiniz:
- örtüşen net kimlikleri ne zaman bittiklerini asla bilemezler.
- uzak ofis ağ geçidi NAT, dizüstü bilgisayarlarında uygulanmalıdır.
- ofis ağ geçidinin, her iki senaryoyu da kapsayacak şekilde, biri NAT içermeyen ve bir NATed olmak üzere iki VPN'e ihtiyacı olacaktır. Aksi takdirde, birileri NAT yöntemi için seçtiğiniz alt ağlardan birini seçmek durumunda, işler işe yaramaz .
VPN istemcinize bağlı olarak, yerel segmentin ağ adresine bağlı olarak otomatik olarak bir VPN veya diğerini seçebilirsiniz.
NAT'ın bu bağlamda söz edilmesinin, konuşmanın tünel perspektifinde gerçekleştiği bir NAT işlevine işaret ettiğini gözlemleyin. İşlemsel olarak, statik NAT eşlemesi, paket tünele "girmeden", yani internet üzerinden diğer VPN ağ geçidine götürecek olan nakil paketinde kapsüllenmeden önce yapılmalıdır.
Bu, kişinin VPN ağ geçitlerinin genel ip adreslerini (ve pratikte NAT: ed olabilir, ancak daha sonra uzak siteye ulaşım perspektifinin dışında) maskeli balo olarak kullanılan benzersiz özel adreslerle karıştırmaması gerektiği anlamına gelir. yinelenen özel adresler için. Bu soyutlamanın görüntülenmesi zorsa, NAT'ın bu amaçla VPN ağ geçidinden fiziksel olarak nasıl ayrılabileceğinin bir örneği burada yapılır:
Örtüşen Ağlarda NAT kullanımı .
Aynı resmi, hem NAT hem de VPN ağ geçidi işlevini gerçekleştirebilen bir makinenin içindeki mantıksal bir ayrıştırmaya yoğunlaştırmak, aynı örneği bir adım daha ileri götürür, ancak eldeki yazılımın yeteneklerine daha fazla önem verir. Örneğin OpenVPN ve iptables ile birlikte hacklemek ve çözümü buraya göndermek değerli bir zorluk olacaktır.
Yazılımda kesinlikle mümkündür:
PIX / ASA 7.x ve Sonrası: Çakışan Ağlar Konfigürasyonlu LAN-LAN IPsec VPN Yapılandırma Örneği
ve:
Çift LAN Alt Ağları Olan Yönlendiriciler Arasında IPSec Tünelinin Yapılandırılması
Bu nedenle gerçek uygulama birçok etkene, ilgili işletim sistemine, ilgili yazılıma ve olasılıklarına en az değil, bağlı olarak değişir. Ama kesinlikle yapılabilir. Biraz düşünmeniz ve denemeniz gerekir.
Bunu Cisco'dan linklerde görüldüğü gibi öğrendim.