NAT arxasında peer ilə Azure saytlararası VPN: yoxlama siyahısı

Bu yoxlamaları sıra ilə yerinə yetirin və uğursuz olan ilk addımda dayanın. Azure-un NAT arxasındakı cihazı dəstəkləmədiyi barədə şikayətlərin çoxu əslində Azure-un çata bilmədiyi peer ünvanı və ya düzgün tərəfdən heç vaxt başlamayan tunel olur. Xarici nəqliyyat və daxili marşrutlaşdırma iki fərqli problemdir və onları qarışdırmaq bir günorta vaxt itkisidir. Aşağıdakı hər addım başqasına verə biləcəyiniz bir müşahidə yaradır.

Addım 1: peer-in ümumiyyətlə NAT arxasında olduğunu təsdiqləyin

Cihazın WAN interfeysindəki ünvanı Azure-un onun üçün gördüyü ünvanla müqayisə edin. Fərqlidirlərsə, kimisə tərcümə edir və o tərcüməçi artıq VPN dizaynınızın bir hissəsidir. Provayderdən xəritələmənin statik və ya paylaşılan olduğunu soruşun, çünki paylaşılan xəritələmə nəyə arxalana biləcəyinizi dəyişir. Şəxsi WAN ünvanı olan və yönləndirməsi olmayan cihaz, sabit ictimai xəritələmə ilə operator səviyyəli NAT arxasındakı cihazdan fərqli bir haldır.

Əgər iki ünvan üst-üstə düşürsə, burada dayanın: NAT sizin probleminiz deyil və siyahının qalanı kömək etməyəcək.

Hər iki ünvanı və tərcüməçinin modelini bilettə qeyd edin. Bu bir sətir konfiqurasiya edilmiş peer-in niyə cavab vermədiyi ilə bağlı növbəti sual turunun qarşısını alır.

Addım 2: kimin başladığını razılaşdırın

Azure VPN Gateway FAQ NAT-T dəstəyini göstərir və əlavə edir ki, yerli cihaz NAT arxasındadırsa IPsec tunelini o başlatmalıdır. Bu, vəziyyət saxlayan tərcümənin işinə uyğundur, çünki tərcüməçi xəritələməni daxili cihaz ilk paketi göndərdiyi üçün saxlayır. Əgər Azure-un başlatması gözlənilirsə və həmin xəritələməni yaradacaq heç nə gəlmirsə, tunel heç vaxt başlamır.

Peer-i elə konfiqurasiya edin ki, yalnız cavabverən səhvi aydın görünsün və cihazın özü təkrar cəhd edib-etmədiyini və ya tetikleyiciyə ehtiyacı olduğunu yoxlayın. Bəzi cihazlar tuneli yalnız maraqlı trafik görünəndə qaldırır, bu da maraqlı trafik heç vaxt gəlməyən sağlamlıq yoxlaması olana qədər yaxşıdır.

Əl ilə başlatma zamanı cihazda IKE mübadiləsini izləyin; oradakı səssizlik marşrutlaşdırma və ya firewall cavabıdır, Azure cavabı deyil.

Addım 3: peer ünvanını düzgün əldə edin

Azure peer üçün yerli şəbəkə şlüzü obyektində çatıla bilən ictimai ünvan tələb edir, adətən cihazın daxili ünvanı deyil, tərcüməçinin ictimai ünvanı. cihazın autentifikasiya etdiyi kimlik ayrı bir sahədir və Azure-un yığdığı ünvandan qanuni olaraq fərqlənə bilər. İkisini düzgün saxlayın, çünki onları dəyişmək NAT probleminə tam bənzəyən autentifikasiya xətası yaradır.

İctimai ünvan dəyişirsə, o obyekt də onunla dəyişməlidir. Köhnəlmiş ünvana çevrilən ad, əl ilə yeniləməli olduğunuz statik ünvandan daha pisdir.

Üç dəyəri də yazın: cihazın yerli ünvanı, tərcümə edilmiş ictimai ünvan, konfiqurasiya edilmiş peer kimliyi.

Addım 4: yalnız NAT-T-nin lazım olan portlarını açın

NAT-T ESP-ni UDP içində daşıyır və RFC 3948 bu inkapsulyasiyanı 500 portunda ilkin danışıqlardan sonra 4500 portu ilə təsvir edir. Həm firewall-unuz, həm də tərcüməçi mübadiləyə və onun qayıt trafikinə icazə verməlidir. Əlaqəsiz TCP portuna icazə vermək bu yol haqqında heç nə sübut etmir və çıxışa icazə verib cavaba verməyən qayda yenə də uğursuz olacaq.

Peer başladıqda və tərcüməçi vəziyyət saxladıqda statik giriş portu yönləndirməsi avtomatik tələb olunmur. Xəritələmə qeyri-sabit olduqda və ya yolda nə isə vəziyyəti aqressiv şəkildə bitirdikdə zəruri olur.

Tərcüməçinin hər iki tərəfində bir dəfə tutun; inkapsulyasiya fərqi dərhal görünür.

Addım 5: xarici nəqliyyatı daxili marşrutlaşdırmadan ayırın

Qurulan və heç nə daşımıyan tunel marşrutlaşdırma problemidir, NAT-T problemi deyil. Saytlar hələ də uyğun trafik seçiciləri, üst-üstə düşən ünvan məkanları, giriş qaydaları və tətbiq şəbəkələri üçün qayıt yolu tələb edir. Bunların heç birini uğurlu IKE mübadiləsi təmin etmir.

Əgər iki sayt üst-üstə düşən şəxsi diapazonlardan istifadə edirsə, tunel daxilində tərcümə öz qaydaları olan ayrı bir dizayndır. Yalnız xarici şlüz ev marşrutlaşdırıcısının arxasında olduğu üçün alt şəbəkəni yenidən nömrələməyin.

Nəyisə dəyişməzdən əvvəl nasazlığı mərhələyə görə təsnif edin və bu təsnifatı bilettə saxlayın ki, növbəti şəxs sizin dayandığınız yerdən başlasın.