FortiGate y tu ôl i NAT: local-gw, localid a'r IP cyhoeddus

Gall FortiGate y tu ôl i NAT feddu ar 10.0.0.2 ar ei ryngwyneb WAN tra bod y rhyngrwyd yn ei gyflwyno fel 198.51.100.40, ac mae'r ddau rif yn real. Mae'r cyfeiriad y mae'r ddyfais yn rhwymo iddo a'r hunaniaeth y mae'n ei hanfon yn ystod dilysu IKE yn ddewisiadau ar wahân, wedi'u gwneud mewn meysydd ar wahân, ar gyfer cynulleidfaoedd ar wahân. Mae NAT yn ailysgrifennu'r cyfeiriadau allanol wrth basio; nid yw'n ailysgrifennu hunaniaeth ddilys i beth bynnag y mae'r cymar pell yn ei ddisgwyl. Daw'r rhan fwyaf o fethiannau cyfnod 1 yn y siâp hwn o roi'r gwerth cywir yn y maes anghywir.

Tri gwerth, tri pherchennog

Dechreuwch drwy enwi'r tri gwerth a phwy sy'n berchen ar bob un. local-gw yw'r cyfeiriad y mae FortiGate yn ei ddefnyddio i ffynonellu IKE ar ei ryngwyneb allanol, ac mae'n rhaid iddo fod yn gyfeiriad y mae'r ddyfais yn ei feddu mewn gwirionedd. Y pen draw cyhoeddus yw cyfeiriad y ddyfais NAT, sy'n eiddo i bwy bynnag sy'n gwneud y cyfieithu. Mae hunaniaeth IKE yn llinyn y mae'r cymar yn ei gymharu â'i gyfluniad ei hun, ac nid oes angen iddo fod yn gyfeiriad IP o gwbl.

Mae enwau'r meysydd yn ddigon agos i wahodd amnewid, a dyna'r fagl. localid a localid-type yn disgrifio adnabyddiaeth; local-gw yn disgrifio rhwymiad lleol.

Mae enghraifft yn gwneud y gwahaniaeth yn goncrit. Ar y FortiGate, agorwch config vpn ipsec phase1-interface, yna set interface "wan1" a set local-gw 10.0.0.2 — cyfeiriad y mae'r blwch yn ei feddu, a dyna sy'n gwneud i soced IKE rwymo'n llwyddiannus. Gadewch local-gw ar 0.0.0.0 a defnyddir cyfeiriad y rhyngwyneb, sydd fel arfer yr un peth ond yn llai eglur. Peidiwch â gosod local-gw i 198.51.100.40, oherwydd nid yw'r ddyfais yn berchen ar y cyfeiriad hwnnw ac ni fydd y soced yn rhwymo iddo. Nid yw gwneud dau werth i edrych yn gyfartal ar bapur yn gyfluniad.

Cam 1: dewiswch yr hunaniaeth y bydd y cymar yn ei derbyn

Nawr yr hunaniaeth, sy'n benderfyniad gwahanol. set localid yn cymryd y gwerth y bydd y cymar yn ei gymharu, a set localid-type yn dweud wrth y FortiGate sut i'w ddehongli: cyfeiriad, FQDN, FQDN defnyddiwr neu ID allwedd. Gyda auto mae'r ddyfais yn ei ddeillio, fel arfer o gyfeiriad y rhyngwyneb allan, sef yn union y gwerth y mae dyfais NAT ar fin ei newid.

Y deilliad hwnnw yw'r rheswm y mae hunaniaeth benodol yn bwysig yn y topoleg hon. Os yw'r cymar yn disgwyl hunaniaeth cyfeiriad, gosodwch localid-type address a localid i'r cyfeiriad cyhoeddus y bydd y cymar yn ei weld, yna cadarnhewch fod y cymar yn derbyn y gwerth hwnnw fel hunaniaeth yn hytrach nag fel targed llwybro. Os yw'r cymar yn disgwyl FQDN, defnyddiwch localid-type fqdn a'r enw y cafodd ei gyflunio ag ef. Gwiriwch beth a anfonwyd mewn gwirionedd gyda diagnose vpn ike gateway list, sy'n dangos cyflwr y porth a'r dynodwyr sy'n cael eu defnyddio yn hytrach na'r hyn yr oeddech yn bwriadu ei deipio. Peidiwch â chymryd yn ganiataol bod opsiwn math hunaniaeth yn derbyn cyfeiriad nad yw'n lleol yn fympwyol; gwiriwch semanteg ddogfennol y rhyddhau yn gyntaf.

Cam 2: anfonwch UDP 500 a 4500 ymlaen i'r ddyfais

Mae'r trydydd gwerth yn eiddo i'r ddyfais NAT, a dyna'r un y mae pobl yn anghofio ei wirio. Rhaid i'r pen draw cyhoeddus anfon UDP 500 a UDP 4500 ymlaen i'r FortiGate, oherwydd mae canfod NAT-T a'r ESP mewnblëdig sy'n dilyn ill dau yn dibynnu ar y porthladdoedd hynny'n cyrraedd. Mae'r dyluniad hwn yn tybio mapio un-i-un; mae rhannu un cyfeiriad cyhoeddus ar draws sawl cymar drwy borthladdoedd yn dopoleg wahanol â chyfyngiadau gwahanol.

Cadarnhewch yr anfon ymlaen gyda chipio yn hytrach na gobaith: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 yn dangos a yw pecynnau'n cyrraedd ac a yw atebion yn gadael.

Mae Google Cloud VPN yn dogfennu NAT un-i-un gyda NAT-T fel y trefniant a gefnogir ar gyfer cymar y tu ôl i NAT, a dyna'r cyfyngiad y dylid dylunio yn ei erbyn os mai porth Cloud VPN yw'r pen pell. Nid yw rhannu un-i-lawer na thrwy borthladdoedd yr un dopoleg a gefnogir, ac nid yw unrhyw faint o diwnio hunaniaeth leol yn newid hynny. Os mai teclyn arall yw'r ochr bell, mae ei ddogfennaeth ei hun yn diffinio beth y bydd yn ei dderbyn fel hunaniaeth ac a yw'n goddef cyfeiriad cymar wedi'i gyfieithu. Darllenwch hynny cyn newid maes lleol, oherwydd ni all yr ochr leol drafod rheol nad yw'r ochr bell yn ei gweithredu.

Cam 3: gwiriwch beth nad yw cyfnod 1 yn ei ddatrys

Mae trawslun NAT yn codi'r tiwnel, mae cytundeb hunaniaeth yn penderfynu a yw'r cymar yn ei dderbyn, ac mae llwybro rhagddodiad mewnol yn penderfynu beth sy'n croesi mewn gwirionedd. Ni all ID lleol cywir ddarparu llwybr statig coll neu ddetholwr traffig coll.

Felly gwiriwch mewn haenau. get vpn ipsec tunnel details yn dangos a yw'r tiwnel i fyny a pha ddetholwyr a drafodwyd, ac mae anghysondeb rhwng yr is-rwydwaith pell a gyfluniwyd a'r detholwr a drafodwyd yn broblem llwybro mewn gwisg cyfnod 2. execute vpn ike gateway clear yn gorfodi ail-drafodaeth, felly rydych yn profi'r cyfluniad presennol yn hytrach na sesiwn a sefydlwyd cyn eich newid diwethaf. Yna anfonwch draffig at westy yn y rhagddodiad pell a chadarnhewch fod y cyfrifwyr yn symud, oherwydd mae tiwnel sydd i fyny ac yn pasio dim yn edrych yn union yr un fath ag un sy'n gweithio nes i chi wirio.

Cadwch y tri gwerth mewn un man yn eich nodiadau: y cyfeiriad lleol y mae'r ddyfais yn ei feddu, y pen draw cyhoeddus y mae'r ddyfais NAT yn ei gyflwyno, a'r llinyn hunaniaeth y mae'r cymar yn ei ddisgwyl. Maent yn newid am wahanol resymau ac ar wahanol adegau.

Nid yw ailrifo dyfais NAT yn rheswm i gyffwrdd â local-gw y FortiGate, ac nid yw newid hunaniaeth yn rheswm i ailrifo unrhyw beth. Cymysgu'r ddau yw sut y mae tiwnel sy'n gweithio yn cael ei ailadeiladu yn ystod ffenestr gynnal a chadw heb gysylltiad. Canllaw NAT Cloud VPN yw'r cyfeirnod ar gyfer y dopoleg a gefnogir ar yr ochr honno.

Mae'r prawf sy'n setlo hyn yn ddiflas ac yn gyflym: cipiwch ar y rhyngwyneb allanol, cadarnhewch fod UDP 500 a 4500 yn cyrraedd o'r cymar, cadarnhewch fod yr hunaniaeth yn y gyfnewid IKE yn cyfateb i'r hyn y cafodd y cymar ei gyflunio i'w ddisgwyl, yna cadarnhewch fod y detholwyr a drafodwyd yn cynnwys yr is-rwydweithiau sy'n bwysig i chi. Os yw'r prawf cyntaf yn methu, y ddyfais NAT yw'r sawl a amheuir. Os yw'r ail yn methu, y meysydd hunaniaeth sydd ar fai. Os yw'r trydydd yn methu, nid NAT na hunaniaeth oedd y broblem erioed.