VPN safle-i-safle Azure â phartner y tu ôl i NAT: rhestr wirio

Ewch drwy’r gwiriadau hyn yn eu trefn a stopiwch ar yr un cyntaf sy’n methu. Mae’r rhan fwyaf o adroddiadau bod Azure yn methu â chefnogi dyfais y tu ôl i NAT yn troi allan i fod yn gyfeiriad partner na all Azure gyrraedd, neu’n diwnel nad yw byth yn cychwyn o’r ochr gywir. Mae’r cludiant allanol a’r llwybro mewnol yn ddau broblem wahanol, ac mae’u cymysgu yn gwastraffu prynhawn. Mae pob cam isod yn cynhyrchu arsylwi y gallwch ei roi i rywun arall.

Cam 1: cadarnhewch fod y partner y tu ôl i NAT o gwbl

Cymharwch y cyfeiriad ar ryngwyneb WAN y ddyfais â’r cyfeiriad y mae Azure yn ei weld ar ei chyfer. Os ydynt yn wahanol, mae rhywbeth yn cyfieithu, ac mae’r cyfieithydd hwnnw nawr yn rhan o’ch dyluniad VPN. Gofynnwch i’r darparwr a yw’r mapio yn statig neu’n rhanedig, oherwydd mae mapio rhanedig yn newid yr hyn y gallwch ddibynnu arno. Mae dyfais â chyfeiriad WAN preifat a dim anfon ymlaen yn achos gwahanol i un y tu ôl i NAT lefel cludydd â mapio cyhoeddus sefydlog.

Os yw’r ddau gyfeiriad yn cyfateb, stopiwch yma: nid NAT yw’ch problem ac ni fydd gweddill y rhestr yn helpu.

Cofnodwch y ddau gyfeiriad a model y cyfieithydd yn y tocyn. Mae’r un llinell honno yn atal y rownd nesaf o gwestiynau ynghylch pam nad yw’r partner a ffurfweddwyd yn ateb.

Cam 2: cytunwch pwy sy’n cychwyn

Mae Cwestiynau cyffredin Azure VPN Gateway yn nodi cefnogaeth NAT-T ac yn ychwanegu y dylai’r ddyfais leol gychwyn y tiwnel IPsec pan fydd y tu ôl i NAT. Mae hynny’n cyfateb i’r ffordd y mae cyfieithu cyflwr yn gweithio, gan fod y cyfieithydd yn cadw mapio oherwydd bod y ddyfais fewnol wedi anfon y pecyn cyntaf. Os disgwylir i Azure gychwyn ac nad oes dim yn cyrraedd i greu’r mapio hwnnw, ni fydd y tiwnel byth yn dechrau.

Ffurfweddwch y partner fel bod camgymeriad dim ond ymatebwr yn amlwg, a gwiriwch a yw’r ddyfais yn ailgynnig ar ei phen ei hun neu angen sbardun. Mae rhai dyfeisiau ond yn codi tiwnel pan fydd traffig diddorol yn ymddangos, sy’n iawn nes bod y traffig diddorol yn archwiliad iechyd nad yw byth yn dod.

Gwyliwch y gyfnewidfa IKE ar y ddyfais yn ystod cychwyn â llaw; distawrwydd yno yw ateb llwybro neu wal dân, nid ateb Azure.

Cam 3: caewch y cyfeiriad partner yn iawn

Mae angen cyfeiriad cyhoeddus y gellir ei gyrraedd ar Azure ar gyfer y partner yn ei wrthrych porth llwybr lleol, fel arfer cyfeiriad cyhoeddus y cyfieithydd yn hytrach na chyfeiriad mewnol y ddyfais. Mae yr hunaniaeth y mae’r ddyfais yn dilysu â hi yn faes ar wahân a gall yn gyfreithlon fod yn wahanol i’r cyfeiriad y mae Azure yn ei ddeialu. Cadwch y ddau yn syth, oherwydd mae eu cyfnewid yn cynhyrchu methiant dilysu sy’n edrych yn union fel problem NAT.

Os yw’r cyfeiriad cyhoeddus yn newid, rhaid i’r gwrthrych hwnnw newid gydag ef. Mae enw sy’n datrys i gyfeiriad hen ffasiwn yn waeth nag un statig y mae’n rhaid i chi ei ddiweddaru â llaw.

Ysgrifennwch y tri gwerth: cyfeiriad lleol y ddyfais, y cyfeiriad cyhoeddus a gyfieithwyd, a’r hunaniaeth partner a ffurfweddwyd.

Cam 4: agorwch yn unig y pyrth y mae NAT-T eu hangen

Mae NAT-T yn cario ESP y tu mewn i UDP, ac mae RFC 3948 yn disgrifio’r digrynhoi hwnnw gyda phorth 4500 yn cael ei ddefnyddio ar ôl y trafodaeth gychwynnol ar borth 500. Rhaid i’ch wal dân a’r cyfieithydd ill dau ganiatáu’r gyfnewidfa a’i thraffig dychwelyd. Nid yw caniatáu porth TCP amherthnasol yn profi dim am y llwybr hwn, a bydd rheol sy’n caniatáu allan ond nid yr ateb yn methu o hyd.

Nid oes angen anfon porth mewnol statig yn awtomatig pan fydd y partner yn cychwyn ac mae’r cyfieithydd yn cadw cyflwr. Mae’n dod yn angenrheidiol pan fydd y mapio yn ansefydlog neu pan fydd rhywbeth ar y llwybr yn dod â chyflwr i ben yn ymosodol.

Cipiwch ar ddau ochr y cyfieithydd unwaith; mae’r gwahaniaeth digrynhoi yn amlwg ar unwaith.

Cam 5: gwahanwch gludiant allanol oddi wrth lwybro mewnol

Mae tiwnel sy’n sefydlu ac yn cario dim yn broblem llwybro, nid problem NAT-T. Mae angen detholwyr traffig cydnaws ar y safleoedd o hyd, gofodau cyfeiriad sy’n cyfateb, rheolau mynediad a llwybr dychwelyd ar gyfer y rhwydweithiau cymhwysiad. Nid yw cyfnewidfa IKE lwyddiannus yn darparu dim o hynny.

Os yw’r ddau safle yn defnyddio ystodau preifat sy’n gorgyffwrdd, mae cyfieithu o fewn y tiwnel yn ddyluniad ar wahân â’i reolau ei hun. Peidiwch ag ailrifo is-rwydwaith dim ond oherwydd bod y porth allanol yn digwydd bod y tu ôl i lwybrydd cartref.

Dosbarthwch y methiant yn ôl cyfnod cyn i chi newid unrhyw beth, a chadwch y dosbarthiad hwnnw yn y tocyn fel bod y person nesaf yn dechrau lle gwnaethoch chi stopio.