Devemos acomodar um cliente nos solicitando aos servidores NAT por trás de novos IPs PÚBLICOS dentro de uma VPN?

Question

Somos um provedor de SaaS, configurando uma VPN IPSec entre nosso datacenter e o site de um cliente para que eles possam acessar diretamente seu servidor de banco de dados hospedado a partir de sua LAN.

Em vez de expor nossa LAN interna ao cliente, nosso 'design de referência' é para NAT apenas o servidor que eles precisam por trás de outro endereço privado 'DMZ' dentro da VPN, e o cliente faz o mesmo para não expor seus clientes internos. alcance para nós.

Por exemplo, no design de 'referência',

Customer Server --> Cust VPN NAT ====== VPN ======= My VPN NAT --> My server
192.168.27.4    --> 10.10.10.4   =================> 10.20.0.5  --> 192.168.3.16

Desde que possamos concordar em usar IPs NAT não conflitantes em intervalos privados (10.10. vs 10.20.), isso funciona bem. Estamos aceitando apenas conexões de entrada do cliente e veríamos o tráfego apenas a partir de 10.10.10.4 no exemplo acima.

Hoje, um cliente diz que só pode trabalhar com IPs públicos como IPs de NAT em ambas as extremidades para evitar qualquer chance de uma colisão de intervalo. Eles são uma grande empresa global que tem milhares de IPs públicos de reserva, então não há problema para eles. Somos um pequeno provedor de SaaS hospedado em cores que precisa justificar todas as solicitações de IP público para nossos provedores.

Customer Server --> Cust VPN NAT ====== VPN ======= New Public IP --> My server
192.168.27.4    --> 1.2.3.4      =================> 5.6.7.8  --> 192.168.3.16

Não temos problema em ajudar o cliente, passando pelo processo e obtendo IPs públicos para isso, mas ...

1. Esta é uma configuração comum?
2. É a coisa certa a fazer tecnicamente, dado que o P na VPN significa 'Privado'?
3. É a coisa certa a fazer "moralmente", dado o esgotamento do espaço de endereços IPv4?

Obrigado pela sua ajuda.

    

Answer 1

Honestamente, acho que isso é mais uma decisão de negócios do que uma decisão técnica. (As pessoas são livres para discordar de mim, é claro.) Mas IMHO, isso se resume a:

• O custo do novo IP e o tempo e energia gastos estão sendo acomodados o suficiente para reduzir os lucros gerados pelos negócios do cliente?
• Qual é maior, o risco representado pelo que eles estão pedindo ou o risco representado pela perda de seus negócios?

Eu não me preocuparia com o # 3 em tudo. É uma configuração comum, e parece que eles estão acostumados a conseguir o que querem. Infelizmente

"Eu não quero fazer isso, que razões técnicas devo dar a eles para evitar isso?" é uma outra questão.