Pa ryngwyneb sy'n cael rôl NAT y tu mewn a'r tu allan ar allanfa VPN IOS

Mae llwybryddion sy'n darparu allanfa rhyngrwyd twnnel llawn yn gwneud dau waith sy'n edrych fel un. Mae'n terfynu'r twnnel ac yn anfon y pecyn cleient dadgryptio allan i'r rhyngrwyd. Dim ond yr ail waith sydd angen cyfieithu, a rhaid i'r cyfieithu gyd-fynd â'r ffrwd fewnol. Mae'r gwahaniaeth hwnnw'n penderfynu pa ryngwynebau sy'n cario rolau NAT a pha ystod cyfeiriadau sy'n ymddangos yn y rheol.

Dilynwch un pecyn drwy'r llwybrydd

Cymerwch gleient yn 10.90.0.25 sy'n agor gwasanaeth HTTPS cyhoeddus. Penderfyniad polisi'r cleient ei hun yw a yw'r gyrchfan honno'n mynd i'r twnnel o gwbl. Unwaith y bydd yn mynd, mae'r llwybrydd yn dadgryptio'r pecyn ac yn ei ddanfon i ryngwyneb rhithwir, ac oddi yno fe'i llwybrir i'r cyswllt uwch cyhoeddus.

Y rhyngwyneb rhithwir hwnnw yw tu mewn y cyfieithu. Y cyswllt uwch cyhoeddus yw tu allan. Os yw'r rolau'n cael eu gwrthdroi neu ar goll, mae'r pecyn naill ai'n gadael â ffynhonnell breifat neu'n cael ei ollwng cyn iddo gael ei gyfieithu.

Cydweddwch y polisi cyfieithu â'r pwll cleientiaid

Rhaid i'r rheol NAT enwi'r ystod y mae'r cleientiaid yn ei chael mewn gwirionedd, nid y LAN swyddfa sy'n digwydd rhannu'r un cyswllt uwch. Mae rheol sy'n cwmpasu'r isrwydwaith lleol yn unig yn colli cleientiaid o bell hyd yn oed pan fo'r ddau'n gadael drwy'r un rhyngwyneb.

ip access-list extended NAT-TUNNEL
 permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overload

Cadwch eithriadau safleoedd preifat ar wahân. Rhaid i draffig i gyrchfannau mewnol gadw ei ffynhonnell wreiddiol, neu bydd y gyrchfan yn ateb cyfeiriad na all gyrraedd, a bydd y goes ddychwelyd yn methu mewn ffordd sy'n edrych fel dolen llwybro.

Gosodwch y rolau ar y rhyngwynebau gwirioneddol yn y dyluniad sydd wedi'i ddefnyddio. Nid yw darn Virtual-Template a gopïwyd o hen ateb Easy VPN yn ffurfweddiad cyfredol cyflawn, ac mae'r math twnnel a ddefnyddir yn penderfynu pa ryngwyneb sy'n cael y pecyn dadgryptio.

Cadwch glud allanol a chyfieithu mewnol ar wahân

Nid yw cyfieithu ffynhonnell cymhwysiad dadgryptio yr un gweithrediad â gwthio IKE neu becynnau gwarchodedig drwy ddyfais NAT ymhellach i fyny. Mae'r cyntaf yn newid yr hyn y mae'r rhyngrwyd yn ei weld fel ffynhonnell cais y cleient; mae'r ail yn cadw twnnel yn fyw ar draws blwch canol.

Mae drysu'r ddau yn cynhyrchu dau fethiant clasurol. Mae llwybrydd sy'n cyfieithu ei glud twnnel ei hun yn torri'r berthynas â'r cymar, tra bo llwybrydd nad yw byth yn cyfieithu'r ffrwd fewnol yn anfon cyfeiriadau preifat i'r rhyngrwyd. Darllenwch pa ffrwd yr ydych yn edrych arni cyn golygu rheol, a gwiriwch a arhosodd y twnnel i fyny ar ôl y newid. Mae rheol sy'n trwsio pori tra'n gollwng y twnnel wedi symud y broblem yn hytrach na'i datrys.

Nid yw'r naill fethiant na'r llall yn cael ei drwsio drwy newid y llall. Darllenwch ba ffrwd yr ydych yn edrych arni cyn golygu rheol.

Gwiriwch ar y ddwy ffin

Darllenwch ffynhonnell y cymhwysiad ar ffin y rhyngrwyd, a'r gyrchfan a adferwyd ar y goes ddychwelyd. Mae'r cyntaf yn dweud a ddigwyddodd cyfieithu; mae'r ail yn dweud a ddaeth y mapio gwrthdro yn ôl i'r cleient iawn.

Yna profwch gleient sy'n defnyddio llwybr twnnel hollt a gymeradwywyd. Nid yw'r cleient hwnnw byth yn defnyddio cyfieithu rhyngrwyd y llwybrydd hwn, felly dylai ymddwyn yn wahanol, ac mae'r gwahaniaeth yn cadarnhau pa lwybr a gymerodd y traffig.

Os yw'r ddau gleient yn ymddwyn yn unfath, nid yw polisi'r twnnel hollt yn gwneud yr hyn y mae'r dyluniad yn ei ddweud. Trwsiwch hynny cyn ychwanegu mwy o reolau cyfieithu, oherwydd mae rheol a ysgrifennwyd ar gyfer llwybr nad yw'n cael ei ddefnyddio yn cuddio'r gwir broblem.