Které rozhraní dostává vnitřní a vnější roli NAT na výstupu VPN v IOS
Sledujte dešifrovaný klientský paket od virtuálního rozhraní k páteřnímu spoji. Překlad patří tomuto vnitřnímu toku, ne vnějšímu transportu tunelu.
Směrovače, které poskytují internetový výstup přes plný tunel, dělají dvě práce, které vypadají jako jedna. Ukončují tunel a předávají dešifrovaný klientský paket do internetu. Překlad potřebuje jen druhá práce a musí odpovídat vnitřnímu toku. Tento rozdíl určuje, která rozhraní nesou role NAT a který rozsah adres se objeví v pravidle.
Sledujte jeden paket přes směrovač
Vezměte klienta na 10.90.0.25, který otevírá veřejnou službu HTTPS. Zda se tato destinace vůbec dostane do tunelu, je rozhodnutí politiky samotného klienta. Jakmile se dostane, směrovač paket dešifruje a předá ho virtuálnímu rozhraní, odkud je směrován k veřejnému páteřnímu spoji.
Toto virtuální rozhraní je vnitřní strana překladu. Veřejný páteřní spoj je vnější strana. Pokud jsou role obrácené nebo chybí, paket buď odchází se soukromým zdrojem, nebo je zahozen dřív, než je přeložen.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Slaďte politiku překladu s fondem klientů
Pravidlo NAT musí uvádět rozsah, který klienti skutečně dostávají, ne kancelářskou LAN, která náhodou sdílí stejný páteřní spoj. Pravidlo pokrývající jen místní podsíť mine vzdálené klienty, i když oba vycházejí stejným rozhraním.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadVýjimky pro soukromá místa držte odděleně. Provoz k vnitřním destinacím si musí zachovat původní zdroj, jinak destinace odpoví na adresu, na kterou se nedostane, a zpětná větev selže způsobem, který vypadá jako smyčka směrování.
Role použijte na skutečná rozhraní v nasazeném návrhu. Fragment Virtual-Template zkopírovaný ze staré odpovědi Easy VPN není úplná současná konfigurace a použitý typ tunelu určuje, které rozhraní dešifrovaný paket přijme.
Držte vnější transport a vnitřní překlad oddělené
Překlad dešifrovaného zdroje aplikace není stejná operace jako protlačování IKE nebo chráněných paketů přes zařízení NAT výše proti proudu. První mění, co internet vidí jako zdroj klientského požadavku; druhé drží tunel živý přes mezilehlé zařízení.
Jejich záměna přináší dvě klasické poruchy. Směrovač, který překládá vlastní transport tunelu, rozbíjí vztah s protějškem, zatímco směrovač, který nikdy nepřekládá vnitřní tok, posílá soukromé adresy do internetu. Přečtěte si, na který tok se díváte, než upravíte pravidlo, a ověřte, zda tunel po změně zůstal nahoře. Pravidlo, které spraví prohlížení a přitom shodí tunel, problém přesunulo, místo aby ho vyřešilo.
Ani jednu z poruch neopravíte změnou té druhé. Přečtěte si, na který tok se díváte, než upravíte pravidlo.
Ověřte na obou hranicích
Přečtěte zdroj aplikace na hranici internetu a obnovenou destinaci na zpětné větvi. První říká, zda k překladu došlo; druhé říká, zda se reverzní mapování vrátilo správnému klientovi.
Potom otestujte klienta, který používá schválenou cestu rozděleného tunelu. Ten klient nikdy nespustí internetový překlad tohoto směrovače, takže by se měl chovat jinak, a rozdíl potvrdí, kterou cestou provoz šel.
Pokud se oba klienti chovají stejně, politika rozděleného tunelu nedělá to, co návrh říká. Opravte to dřív, než přidáte další pravidla překladu, protože pravidlo napsané pro nepoužívanou cestu skrývá skutečný problém.