VPN من موقع إلى موقع في Azure مع نظير خلف NAT: قائمة تحقق

نفّذ هذه الفحوص بالترتيب وتوقّف عند أول واحد يفشل. معظم التقارير التي تفيد بأن Azure لا يدعم جهازا خلف NAT تتبيّن أنها عنوان نظير لا يستطيع Azure الوصول إليه، أو نفق لا يبدأ أبدا من الجانب الصحيح. النقل الخارجي والتوجيه الداخلي مشكلتان مختلفتان، وخلطهما يهدر بعد الظهر كله. كل خطوة أدناه تنتج ملاحظة يمكنك تسليمها لشخص آخر.

الخطوة 1: تأكد أولا أن النظير خلف NAT

قارن العنوان على واجهة WAN في الجهاز بالعنوان الذي يراه Azure له. إذا اختلفا، فثمة شيء يقوم بالترجمة، وذلك المترجم أصبح الآن جزءا من تصميم VPN لديك. اسأل المزود هل التعيين ثابت أم مشترك، لأن التعيين المشترك يغيّر ما يمكنك الاعتماد عليه. الجهاز ذو عنوان WAN خاص دون تمرير حالة مختلفة عن جهاز خلف NAT من فئة مشغّل الشبكة مع تعيين عام ثابت.

إذا تطابق العنوانان، توقّف هنا: NAT ليست مشكلتك ولن تفيد بقية هذه القائمة.

سجّل العنوانين وطراز المترجم في التذكرة. هذا السطر الواحد يمنع الجولة التالية من الأسئلة حول سبب عدم استجابة النظير المهيّأ.

الخطوة 2: اتفق على من يبدأ

تذكر الأسئلة الشائعة عن بوابة VPN في Azure دعم NAT-T وتضيف أنه ينبغي لجهاز الشبكة المحلية أن يبدأ نفق IPsec عندما يكون خلف NAT. هذا يطابق طريقة عمل الترجمة ذات الحالة، لأن المترجم يحتفظ بتعيين لأن الجهاز الداخلي أرسل الحزمة الأولى. إذا كان يُتوقع من Azure أن يبدأ ولم يصل شيء لإنشاء ذلك التعيين، فلا يبدأ النفق أبدا.

اضبط النظير بحيث يكون خطأ المستجيب فقط واضحا، وتحقق هل يعيد الجهاز المحاولة من تلقاء نفسه أم يحتاج إلى محفّز. بعض الأجهزة لا ترفع النفق إلا عند ظهور حركة مثيرة للاهتمام، وهذا مقبول إلى أن تكون حركة الاهتمام مسبار صحة لا يأتي أبدا.

راقب تبادل IKE على الجهاز أثناء بدء يدوي؛ الصمت هناك إجابة توجيه أو جدار حماية، وليس إجابة Azure.

الخطوة 3: اضبط عنوان النظير بشكل صحيح

يحتاج Azure إلى عنوان عام يمكن الوصول إليه للنظير في كائن بوابة الشبكة المحلية، وعادة يكون العنوان العام للمترجم لا العنوان الداخلي للجهاز. الهوية التي يصادق بها الجهاز حقل منفصل ويمكن أن يختلف بشكل مشروع عن العنوان الذي يتصل به Azure. أبق الاثنين مستقيمين، لأن تبديلهما ينتج فشل مصادقة يشبه تماما مشكلة NAT.

إذا تغيّر العنوان العام، وجب أن يتغيّر ذلك الكائن معه. الاسم الذي يُحلّ إلى عنوان قديم أسوأ من عنوان ثابت عليك تحديثه يدويا.

دوّن القيم الثلاث كلها: العنوان المحلي للجهاز، والعنوان العام المترجم، وهوية النظير المهيّأة.

الخطوة 4: افتح فقط المنافذ التي يحتاجها NAT-T

يحمل NAT-T حزم ESP داخل UDP، ويصف RFC 3948 ذلك التغليف مع استخدام المنفذ 4500 بعد التفاوض الأولي على المنفذ 500. يجب أن يسمح كل من جدار الحماية والمترجم بالتبادل وحركة العودة. السماح بمنفذ TCP غير ذي صلة لا يثبت شيئا عن هذا المسار، والقاعدة التي تسمح بالصادر دون الرد ستظل تفشل.

لا يُشترط تلقائيا تمرير منفذ وارد ثابت عندما يبدأ النظير ويحتفظ المترجم بالحالة. يصبح ضروريا عندما يكون التعيين غير مستقر أو عندما ينتهي شيء في المسار الحالة بسرعة.

التقط على جانبي المترجم مرة واحدة؛ يظهر فرق التغليف فورا.

الخطوة 5: افصل النقل الخارجي عن التوجيه الداخلي

النفق الذي يُنشأ ولا ينقل شيئا مشكلة توجيه، لا مشكلة NAT-T. ما زالت المواقع تحتاج إلى محدّدات حركة متوافقة، وفضاءات عناوين متطابقة، وقواعد وصول، ومسار عودة لشبكات التطبيقات. لا شيء من ذلك يوفره تبادل IKE ناجح.

إذا استخدم الموقعان نطاقات خاصة متداخلة، فالترجمة داخل النفق تصميم منفصل بقواعده الخاصة. لا تعد ترقيم شبكة فرعية لمجرد أن البوابة الخارجية تقع خلف موجه منزلي.

صنّف الفشل حسب المرحلة قبل أن تغيّر أي شيء، واحتفظ بهذا التصنيف في التذكرة ليبدأ الشخص التالي من حيث توقفت.