Koji interfejs dobija NAT ulogu iznutra i spolja na IOS VPN izlazu
Pratite dešifrovan klijentski paket od virtuelnog interfejsa do uzvodnog linka. Prevođenje pripada tom unutrašnjem toku, a ne spoljnom transportu tunela.
Ruteri koji pružaju internet izlaz kroz pun tunel obavljaju dva posla koja izgledaju kao jedan. On završava tunel i prosljeđuje dešifrovan klijentski paket na internet. Samo drugi posao traži prevođenje, i ono mora da odgovara unutrašnjem toku. Ta razlika odlučuje koji interfejsi nose NAT uloge i koji opseg adresa se pojavljuje u pravilu.
Pratite jedan paket kroz ruter
Uzmite klijenta na 10.90.0.25 koji otvara javnu HTTPS uslugu. Da li ta destinacija uopšte ulazi u tunel, odluka je politike samog klijenta. Kada uđe, ruter dešifruje paket i predaje ga virtuelnom interfejsu, odakle se rutira ka javnom uzvodnom linku.
Taj virtuelni interfejs je unutrašnja strana prevođenja. Javni uzvodni link je spoljna strana. Ako su uloge obrnute ili nedostaju, paket ili izlazi sa privatnim izvorom ili se odbacuje prije nego što bude preveden.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Uskladite politiku prevođenja sa pulom klijenata
NAT pravilo mora imenovati opseg koji klijenti zaista dobijaju, a ne kancelarijski LAN koji slučajno dijeli isti uzvodni link. Pravilo koje pokriva samo lokalnu podmrežu promašuje udaljene klijente čak i kada oba izlaze kroz isti interfejs.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadDržite izuzetke za privatne lokacije odvojeno. Saobraćaj ka unutrašnjim destinacijama mora zadržati svoj izvorni izvor, inače će destinacija odgovoriti na adresu do koje ne može stići i povratni krak će pasti na način koji izgleda kao petlja rutiranja.
Primijenite uloge na stvarne interfejse u raspoređenom dizajnu. Fragment Virtual-Template kopiran iz starog odgovora za Easy VPN nije potpuna aktuelna konfiguracija, a tip tunela koji se koristi određuje koji interfejs prima dešifrovan paket.
Držite spoljni transport i unutrašnje prevođenje odvojeno
Prevođenje dešifrovanog izvora aplikacije nije ista operacija kao propuštanje IKE ili zaštićenih paketa kroz NAT uređaj uzvodno. Prvo mijenja ono što internet vidi kao izvor klijentskog zahtjeva; drugo održava tunel živim kroz posredni uređaj.
Miješanje to dvoje daje dva klasična kvara. Ruter koji prevodi sopstveni transport tunela kvari odnos sa peerom, dok ruter koji nikada ne prevodi unutrašnji tok prosljeđuje privatne adrese na internet. Pročitajte koji tok gledate prije nego što izmijenite pravilo, i provjerite da li je tunel ostao podignut poslije promjene. Pravilo koje popravi pregledanje a obori tunel premjestilo je problem umjesto da ga riješi.
Nijedan od ta dva kvara ne otklanja se promjenom onog drugog. Pročitajte koji tok gledate prije nego što izmijenite pravilo.
Provjerite na obje granice
Pročitajte izvor aplikacije na granici s internetom, a vraćenu destinaciju na povratnom kraku. Prvo govori da li se prevođenje dogodilo; drugo govori da li se obrnuto mapiranje vratilo pravom klijentu.
Zatim testirajte klijenta koji koristi odobrenu putanju podijeljenog tunela. Taj klijent nikada ne pokreće internet prevođenje ovog rutera, pa bi se trebao ponašati drugačije, a razlika potvrđuje kojim putem je saobraćaj išao.
Ako se oba klijenta ponašaju isto, politika podijeljenog tunela ne radi ono što dizajn kaže. Popravite to prije nego što dodate još pravila prevođenja, jer pravilo napisano za putanju koja se ne koristi skriva pravi problem.