NAT का उपयोग करके इसे हल करना संभव है; यह बहुत सुरुचिपूर्ण नहीं है।
इस धारणा के तहत आप इसे आंतरिक जालों के द्वारा हल नहीं कर सकते हैं जिनके पास इतने असामान्य नेटवर्क नंबर हैं जितने कि वास्तव में कभी भी विवाद में नहीं आते, यहाँ सिद्धांत है:
चूंकि दोनों स्थानीय और दूरस्थ सबनेट में समान नेटवर्क नंबर होते हैं, इसलिए आपके ग्राहक के ट्रैफ़िक को कभी भी यह एहसास नहीं होगा कि उसे अपने गंतव्य तक पहुंचने के लिए सुरंग के प्रवेश द्वार से गुजरना है। और यहां तक कि अगर हम कल्पना करते हैं कि यह स्थिति दूरस्थ मेजबान के लिए भी वैसी ही होगी, जैसा कि वह जवाब भेजने के बारे में है।
इसलिए मेरे साथ रहें और दिखावा करें कि अभी तक, कोई साइड इश्यू नहीं है जैसा कि मैं लिखता हूं कि पूर्ण कनेक्टिविटी के लिए, आपको सुरंग के अंदर दोनों छोरों को एनएटी की आवश्यकता होगी ताकि मेजबानों को अलग करने और मार्ग के लिए अनुमति दें।
यहाँ कुछ जाल बनाना:
- आपका कार्यालय नेटवर्क 192.0.2.0/24 का उपयोग करता है
- आपका दूरस्थ कार्यालय 192.0.2.0/24 का उपयोग करता है
- आपका कार्यालय नेटवर्क वीपीएन गेटवे 192.0.2.0/24 नैटेड नेटवर्क नंबर 198.51.100.0/24 के पीछे होस्ट करता है
- आपका रिमोट ऑफिस नेटवर्क वीपीएन गेटवे 192.0.2.0/24 नेटेड नेटवर्क नंबर 203.0.113.0/24 के पीछे होस्ट करता है
इसलिए वीपीएन टनल के अंदर, ऑफिस होस्ट अब 198.51.100.x हैं और रिमोट ऑफिस होस्ट 203.0.14.30 हैं। चलो इसके अलावा सभी मेजबान अपने संबंधित वीपीएन गेट के एनएटी में 1: 1 मैप किए गए हैं। एक उदाहरण:
- आपका कार्यालय नेटवर्क होस्ट 192.0.2.5.5/24, स्टेट वीपीएन गेटवे नैट में 198.51.100.5/24 के रूप में वैधानिक रूप से मैप किया गया है
- आपका रिमोट ऑफिस नेटवर्क होस्ट 192.0.2.5.5/24 रिमोट ऑफिस vpn गेटवे NAT में 203.0.113.5/24 के रूप में स्टेटिक रूप से मैप किया गया है
इसलिए जब दूरस्थ कार्यालय में होस्ट 192.0.2.5.5/24 कार्यालय नेटवर्क में एक ही आईपी के साथ मेजबान से जुड़ना चाहता है, तो उसे गंतव्य के रूप में पते 198.51.100.5/24 का उपयोग करके ऐसा करने की आवश्यकता है। निम्नलिखित होता है:
- दूरस्थ कार्यालय में, मेजबान 198.51.100.5 वीपीएन के माध्यम से पहुंचा और वहां रूट किया गया एक दूरस्थ गंतव्य है।
- दूरस्थ कार्यालय में, मेजबान 192.0.2.5 को 203.0.113.5 के रूप में चिह्नित किया जाता है, क्योंकि पैकेट NAT फ़ंक्शन से गुजरता है।
- कार्यालय में, मेजबान 198.51.100.5 का अनुवाद 192.0.2.5 को किया जाता है, क्योंकि पैकेट NAT फ़ंक्शन से गुजरता है।
- कार्यालय में, 203.0.113.5 को होस्ट करने के लिए ट्रैफ़िक लौटाएं, रिवर्स दिशा में उसी प्रक्रिया से गुजरता है।
इसलिए जब तक कोई समाधान नहीं होता है, तब तक कई मुद्दों पर विचार किया जाना चाहिए।
- दूरस्थ कनेक्टिविटी के लिए मर्सिडीज आईपी का उपयोग किया जाना चाहिए; डीएनएस जटिल हो जाता है। ऐसा इसलिए है क्योंकि कनेक्टिंग होस्ट से एंडपॉइंट का एक अद्वितीय आईपी पता होना चाहिए।
- एक NAT फ़ंक्शन को वीपीएन समाधान के हिस्से के रूप में दोनों सिरों पर लागू किया जाना चाहिए।
- स्टैटिकली मैपिंग होस्ट्स दूसरे छोर से रीचैबिलिटी के लिए जरूरी है।
- यदि ट्रैफ़िक यूनिडायरेक्शनल है, तो केवल प्राप्त अंत में सभी शामिल मेजबानों के स्थैतिक मानचित्रण की आवश्यकता है; यदि वांछित हो तो ग्राहक गतिशील रूप से नेटेड होने के साथ दूर हो सकता है।
- यदि ट्रैफ़िक द्विदिश है, तो दोनों सिरों को सभी शामिल मेजबानों के स्थिर मानचित्रण की आवश्यकता है।
- विभाजित या गैर-विभाजित वीपीएन की परवाह किए बिना इंटरनेट कनेक्टिविटी को बिगड़ा नहीं होना चाहिए।
- यदि आप 1-टू -1 मैप नहीं कर सकते हैं तो यह गड़बड़ हो जाता है; सावधान बहीखाता एक आवश्यकता है।
- स्वाभाविक रूप से एक NAT पते का उपयोग करने का जोखिम चलाता है जो डुप्लिकेट भी हो जाता है :-)
तो इसे हल करने के लिए सावधान डिजाइन की जरूरत है। यदि आपके दूरस्थ कार्यालय में वास्तव में सड़क योद्धा शामिल हैं तो आप उसमें समस्याओं की एक परत जोड़ देते हैं:
- जब वे नेट आईडी को ओवरलैप करने पर खत्म हो जाते हैं तो उन्हें पहले से पता नहीं होता।
- दूरस्थ कार्यालय गेटवे NAT को उनके लैपटॉप पर लागू करने की आवश्यकता होगी।
- कार्यालय गेटवे को दोनों परिदृश्यों को कवर करने के लिए दो वीपीएन, एक एनएटी-मुक्त और एक नेटेड की आवश्यकता होगी। अन्यथा, यदि कोई व्यक्ति NAT पद्धति के लिए चुने गए सबनेट्स में से किसी एक को चुनता है, तो चीजें काम नहीं करेंगी ।
अपने वीपीएन क्लाइंट के आधार पर आप स्थानीय खंड के नेटवर्क पते के आधार पर स्वचालित रूप से एक वीपीएन या दूसरे का चयन करने में सक्षम हो सकते हैं।
ध्यान दें कि इस संदर्भ में एनएटी का उल्लेख सभी एनएटी फ़ंक्शन को दर्शाता है, जो कि बोलने के लिए सुरंग के परिप्रेक्ष्य में होता है। प्रोसेसवाइज़, स्थिर नैट मैपिंग को पैकेट के "सुरंग में प्रवेश करने" से पहले किया जाना चाहिए, यानी इससे पहले कि यह परिवहन पैकेट में एनकैप्सुलेटेड हो जो इसे इंटरनेट पर दूसरे वीपीएन गेटवे पर ले जाना है।
इसका अर्थ है कि किसी व्यक्ति को वीपीएन गेटवे के सार्वजनिक आईपी पते को भ्रमित नहीं करना चाहिए (और जो व्यवहार में NAT भी हो सकता है: ed, लेकिन फिर वीपीएन के माध्यम से दूरस्थ साइट के लिए परिवहन के परिप्रेक्ष्य से बाहर) अद्वितीय निजी पते के साथ उपयोग करें डुप्लिकेट निजी पतों के लिए। यदि यह अमूर्त चित्र बनाना मुश्किल है, तो इस उद्देश्य के लिए NAT को VPN गेटवे से भौतिक रूप से अलग कैसे किया जा सकता है, इसका एक चित्रण यहाँ किया गया है:
Overlapping Networks में NAT का उपयोग करना ।
एक मशीन के अंदर एक तार्किक पृथक्करण के लिए एक ही तस्वीर को संघनित करना, NAT और VPN गेटवे कार्यक्षमता दोनों को करने में सक्षम है, बस एक ही उदाहरण एक कदम आगे ले जा रहा है, लेकिन हाथ में सॉफ्टवेयर की क्षमताओं पर अधिक जोर देता है। OpenVPN और iptables उदाहरण के लिए एक साथ इसे हैक करना और यहां समाधान पोस्ट करना एक योग्य चुनौती होगी।
सॉफ़्टवेयरवाइज़ यह निश्चित रूप से संभव है:
PIX / ASA 7.x और बाद में: LAN-to-LAN IPsec VPN ओवरलैपिंग नेटवर्क्स कॉन्फ़िगरेशन उदाहरण के साथ
: और
डुप्लिकेट LAN सबनेट्स के साथ राउटर के बीच एक IPSec सुरंग कॉन्फ़िगर करना
इसलिए वास्तविक कार्यान्वयन बहुत सारे कारकों पर निर्भर करता है, इसमें शामिल ऑपरेटिंग सिस्टम, संबद्ध सॉफ़्टवेयर और इसकी संभावनाएं कम से कम नहीं हैं। लेकिन यह निश्चित रूप से उल्लेखनीय है। आपको थोड़ा सोचने और प्रयोग करने की आवश्यकता होगी।
मैंने इसे सिस्को से सीखा है जैसा कि लिंक्स द्वारा देखा गया है।