IOS VPN çıxışında hansı interfeys NAT daxili və xarici rolunu alır
Deşifrə edilmiş müştəri paketini virtual interfeysdən yuxarı kanala qədər izləyin. Tərcümə həmin daxili axına aiddir, tunelin xarici nəqliyyatına deyil.
Tam tunelli internet çıxışı təqdim edən marşrutlaşdırıcılar bir kimi görünən iki iş görür. O, tuneli başa çatdırır və deşifrə edilmiş müştəri paketini internetə ötürür. Yalnız ikinci iş tərcümə tələb edir və tərcümə daxili axına uyğun olmalıdır. Bu fərq NAT rollarını hansı interfeyslərin daşıdığını və qaydada hansı ünvan aralığının göründüyünü müəyyən edir.
Bir paketi marşrutlaşdırıcıdan keçirərək izləyin
10.90.0.25 ünvanında açıq HTTPS xidməti açan bir müştəri götürün. Həmin təyinatın tunelə düşüb-düşməməsi müştərinin öz siyasət qərarıdır. Bu baş verdikdən sonra marşrutlaşdırıcı paketin şifrəsini açır və onu virtual interfeysə çatdırır, oradan da ictimai yuxarı kanala yönləndirilir.
Həmin virtual interfeys tərcümənin daxili tərəfidir. İctimai yuxarı kanal isə xarici tərəfdir. Rollar tərsinə çevrilərsə və ya çatışmazsa, paket ya şəxsi mənbələ tərk edir, ya da tərcümə olunmadan əvvəl atılır.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Tərcümə siyasətini müştəri hovuzuna uyğunlaşdırın
NAT qaydası müştərilərin həqiqətən aldığı aralığı adlandırmalıdır, təsadüfən eyni yuxarı kanalı paylaşan ofis LAN-ını deyil. Yalnız yerli alt şəbəkəni əhatə edən qayda, hər ikisi eyni interfeysdən çıxsa belə, uzaq müştəriləri buraxır.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadŞəxsi sayt istisnalarını ayrı saxlayın. Daxili təyinatəlara gedən trafik öz ilkin mənbəyini qorumalıdır, əks halda təyinat çata bilmədiyi ünvana cavab verəcək və geri dönüş ayağı marşrut dövrəsinə bənzəyən şəkildə uğursuz olacaq.
Rolları yerləşdirilmiş dizayndakı faktiki interfeyslərə tətbiq edin. Köhnə Easy VPN cavabından kopyalanmış Virtual-Template fraqmenti tam cari konfiqurasiya deyil və istifadə olunan tunel növü deşifrə edilmiş paketi hansı interfeysin alacağını müəyyən edir.
Xarici nəqliyyatı daxili tərcümədən ayrı saxlayın
Deşifrə edilmiş tətbiq mənbəyini tərcümə etmək, IKE və ya qorunan paketləri yuxarıda NAT cihazından keçirməklə eyni əməliyyat deyil. Birincisi internetin müştəri sorğusunun mənbəyi kimi gördüyünü dəyişir; ikincisi tuneli ara qurğu boyunca canlı saxlayır.
Onları qarışdırmaq iki klassik nasazlıq yaradır. Öz tunel nəqliyyatını tərcümə edən marşrutlaşdırıcı həmkar münasibətini pozur, daxili axını heç vaxt tərcümə etməyən marşrutlaşdırıcı isə şəxsi ünvanları internetə ötürür. Qaydanı redaktə etməzdən əvvəl hansı axına baxdığınızı oxuyun və dəyişiklikdən sonra tunelin qalıb-qalmadığını yoxlayın. Tuneli yerə qoyarkən gəzintini düzəldən qayda problemi həll etmək əvəzinə başqa yerə köçürmüş olur.
Nasazlıqların heç biri digərini dəyişməklə düzəlmir. Qaydanı redaktə etməzdən əvvəl hansı axına baxdığınızı oxuyun.
Hər iki sərhəddə yoxlayın
İnternet sərhəddində tətbiq mənbəyini, geri dönüş ayağında isə bərpa olunmuş təyinatı oxuyun. Birincisi tərcümənin olub-olmadığını, ikincisi əks xəritələmənin düzgün müştəriyə qayıdıb-qayıtmadığını deyir.
Sonra təsdiqlənmiş bölünmüş tunel yolundan istifadə edən müştərini sınayın. Həmin müştəri bu marşrutlaşdırıcının internet tərcüməsini heç vaxt işə salmır, ona görə fərqli davranmalıdır və fərq trafikin hansı yolla getdiyini təsdiqləyir.
Hər iki müştəri eyni cür davranırsa, bölünmüş tunel siyasəti dizaynın dediyini etmir. Daha çox tərcümə qaydası əlavə etməzdən əvvəl bunu düzəldin, çünki istifadə olunmayan yol üçün yazılmış qayda əsl problemi gizlədir.