FortiGate πίσω από NAT: local-gw, localid και η δημόσια IP

Ένα FortiGate πίσω από NAT μπορεί να κατέχει 10.0.0.2 στη διεπαφή WAN του, ενώ το διαδίκτυο το παρουσιάζει ως 198.51.100.40, και οι δύο αριθμοί είναι πραγματικοί. Η διεύθυνση στην οποία δεσμεύεται η συσκευή και η ταυτότητα που στέλνει κατά τον έλεγχο ταυτότητας IKE είναι ξεχωριστές επιλογές, σε ξεχωριστά πεδία, για ξεχωριστό κοινό. Το NAT ξαναγράφει την εξωτερική διευθυνσιοδότηση καθ' οδόν· δεν ξαναγράφει μια πιστοποιημένη ταυτότητα σε ό,τι περιμένει ο απομακρυσμένος ομότιμος. Οι περισσότερες αποτυχίες φάσης 1 σε αυτή τη μορφή προέρχονται από την τοποθέτηση της σωστής τιμής στο λάθος πεδίο.

Τρεις τιμές, τρεις ιδιοκτήτες

Ξεκινήστε ονομάζοντας τις τρεις τιμές και ποιος κατέχει την καθεμία. local-gw είναι η διεύθυνση που χρησιμοποιεί το FortiGate ως πηγή για IKE στην εξωτερική διεπαφή του και πρέπει να είναι διεύθυνση που η συσκευή κατέχει πραγματικά. Το δημόσιο άκρο είναι η διεύθυνση της συσκευής NAT και ανήκει σε όποιον εκτελεί τη μετάφραση. Η ταυτότητα IKE είναι μια συμβολοσειρά που ο ομότιμος αντιπαραβάλλει με τη δική του διαμόρφωση και δεν απαιτείται καθόλου να είναι διεύθυνση IP.

Τα ονόματα των πεδίων είναι αρκετά κοντινά ώστε να προκαλούν υποκατάσταση, και αυτή είναι η παγίδα. localid και localid-type περιγράφουν ταυτοποίηση· local-gw περιγράφει τοπική δέσμευση.

Ένα παράδειγμα κάνει τη διάκριση συγκεκριμένη. Στο FortiGate, ανοίξτε config vpn ipsec phase1-interface, μετά set interface "wan1" και set local-gw 10.0.0.2 — μια διεύθυνση που κατέχει το μηχάνημα, και αυτό είναι που κάνει τον υποδοχέα IKE να δεσμευτεί επιτυχώς. Αφήστε το local-gw στο 0.0.0.0 και χρησιμοποιείται η διεύθυνση της διεπαφής, που συνήθως είναι το ίδιο αλλά λιγότερο ρητό. Μην ορίσετε το local-gw στο 198.51.100.40, γιατί η συσκευή δεν κατέχει αυτή τη διεύθυνση και ο υποδοχέας δεν θα δεσμευτεί σε αυτήν. Το να κάνετε δύο τιμές να φαίνονται ίσες στο χαρτί δεν είναι διαμόρφωση.

Βήμα 1: επιλέξτε την ταυτότητα που θα δεχτεί ο ομότιμος

Τώρα η ταυτότητα, που είναι διαφορετική απόφαση. set localid παίρνει την τιμή που θα συγκρίνει ο ομότιμος, και set localid-type λέει στο FortiGate πώς να την ερμηνεύσει: μια διεύθυνση, ένα FQDN, ένα FQDN χρήστη ή ένα ID κλειδιού. Με auto η συσκευή την παράγει, συνήθως από τη διεύθυνση της εξερχόμενης διεπαφής, που είναι ακριβώς η τιμή που μια συσκευή NAT πρόκειται να αλλάξει.

Αυτή η παραγωγή είναι ο λόγος που μια ρητή ταυτότητα έχει σημασία σε αυτή την τοπολογία. Αν ο ομότιμος περιμένει ταυτότητα διεύθυνσης, ορίστε localid-type address και localid στη δημόσια διεύθυνση που θα δει ο ομότιμος, και μετά επιβεβαιώστε ότι ο ομότιμος δέχεται αυτή την τιμή ως ταυτότητα και όχι ως στόχο δρομολόγησης. Αν ο ομότιμος περιμένει FQDN, χρησιμοποιήστε localid-type fqdn και το όνομα με το οποίο διαμορφώθηκε. Επαληθεύστε τι στάλθηκε πραγματικά με diagnose vpn ike gateway list, που δείχνει την κατάσταση της πύλης και τα αναγνωριστικά σε χρήση και όχι αυτό που σκοπεύατε να πληκτρολογήσετε. Μην υποθέσετε ότι μια επιλογή τύπου ταυτότητας δέχεται αυθαίρετη μη τοπική διεύθυνση· ελέγξτε πρώτα τη τεκμηριωμένη σημασιολογία της έκδοσης.

Βήμα 2: προωθήστε τα UDP 500 και 4500 στη συσκευή

Η τρίτη τιμή ανήκει στη συσκευή NAT και είναι αυτή που οι άνθρωποι ξεχνούν να ελέγξουν. Το δημόσιο άκρο πρέπει να προωθεί τα UDP 500 και UDP 4500 στο FortiGate, γιατί η ανίχνευση NAT-T και το ενθυλακωμένο ESP που ακολουθεί εξαρτώνται και τα δύο από την άφιξη αυτών των θυρών. Αυτός ο σχεδιασμός προϋποθέτει αντιστοίχιση ένα προς ένα; ο διαμοιρασμός μιας δημόσιας διεύθυνσης με βάση τις θύρες σε πολλούς ομοτίμους είναι διαφορετική τοπολογία με διαφορετικά όρια.

Επιβεβαιώστε την προώθηση με καταγραφή και όχι με ελπίδα: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 δείχνει αν φτάνουν πακέτα και αν φεύγουν απαντήσεις.

Το Google Cloud VPN τεκμηριώνει NAT ένα προς ένα με NAT-T ως την υποστηριζόμενη διάταξη για ομότιμο πίσω από NAT, και αυτός είναι ο περιορισμός με τον οποίο πρέπει να σχεδιαστεί αν το απομακρυσμένο άκρο είναι πύλη Cloud VPN. Ο διαμοιρασμός ένα προς πολλά ή με βάση τις θύρες δεν είναι η ίδια υποστηριζόμενη τοπολογία, και καμία τοπική ρύθμιση ταυτότητας δεν το αλλάζει. Αν η απομακρυσμένη πλευρά είναι άλλη συσκευή, η δική της τεκμηρίωση καθορίζει τι θα δεχτεί ως ταυτότητα και αν ανέχεται μεταφρασμένη διεύθυνση ομοτίμου. Διαβάστε το πριν αλλάξετε τοπικό πεδίο, γιατί η τοπική πλευρά δεν μπορεί να διαπραγματευτεί κανόνα που η απομακρυσμένη πλευρά δεν εφαρμόζει.

Βήμα 3: ελέγξτε τι δεν λύνει η φάση 1

Η διέλευση NAT σηκώνει τη σήραγγα, η συμφωνία ταυτότητας αποφασίζει αν ο ομότιμος θα τη δεχτεί, και η δρομολόγηση του εσωτερικού προθέματος αποφασίζει τι περνά στην πραγματικότητα. Ένα σωστό τοπικό ID δεν μπορεί να παράσχει μια στατική διαδρομή που λείπει ή έναν επιλογέα κίνησης που λείπει.

Επομένως επαληθεύστε κατά επίπεδα. get vpn ipsec tunnel details δείχνει αν η σήραγγα είναι ενεργή και ποιοι επιλογείς διαπραγματεύτηκαν, και μια ασυμφωνία μεταξύ του διαμορφωμένου απομακρυσμένου υποδικτύου και του διαπραγματευμένου επιλογέα είναι πρόβλημα δρομολόγησης με στολή φάσης 2. execute vpn ike gateway clear εξαναγκάζει νέα διαπραγμάτευση, ώστε να δοκιμάζετε την τρέχουσα διαμόρφωση και όχι μια συνεδρία που δημιουργήθηκε πριν από την τελευταία σας αλλαγή. Στη συνέχεια στείλτε κίνηση σε έναν κεντρικό υπολογιστή στο απομακρυσμένο πρόθεμα και επιβεβαιώστε ότι οι μετρητές κινούνται, γιατί μια σήραγγα που είναι ενεργή και δεν περνά τίποτα μοιάζει πανομοιότυπη με μια λειτουργική μέχρι να ελέγξετε.

Κρατήστε τις τρεις τιμές σε ένα σημείο στις σημειώσεις σας: την τοπική διεύθυνση που κατέχει η συσκευή, το δημόσιο άκρο που παρουσιάζει η συσκευή NAT και τη συμβολοσειρά ταυτότητας που περιμένει ο ομότιμος. Αλλάζουν για διαφορετικούς λόγους και σε διαφορετικές στιγμές.

Η επαναρίθμηση της συσκευής NAT δεν είναι λόγος να αγγίξετε το local-gw του FortiGate, και μια αλλαγή ταυτότητας δεν είναι λόγος να επαναριθμήσετε τίποτα. Η ανάμειξη των δύο είναι ο τρόπος με τον οποίο μια λειτουργική σήραγγα ξαναχτίζεται κατά τη διάρκεια ενός άσχετου παραθύρου συντήρησης. Ο οδηγός NAT του Cloud VPN είναι η αναφορά για την υποστηριζόμενη τοπολογία σε εκείνη την πλευρά.

Το τεστ που κρίνει τα πράγματα είναι βαρετό και γρήγορο: καταγράψτε στην εξωτερική διεπαφή, επιβεβαιώστε ότι τα UDP 500 και 4500 φτάνουν από τον ομότιμο, επιβεβαιώστε ότι η ταυτότητα στην ανταλλαγή IKE ταιριάζει με αυτό που είχε διαμορφωθεί να περιμένει ο ομότιμος, και μετά επιβεβαιώστε ότι οι διαπραγματευμένοι επιλογείς καλύπτουν τα υποδίκτυα που σας ενδιαφέρουν. Αν ο πρώτος έλεγχος αποτύχει, ο ύποπτος είναι η συσκευή NAT. Αν αποτύχει ο δεύτερος, είναι τα πεδία ταυτότητας. Αν αποτύχει ο τρίτος, ούτε το NAT ούτε η ταυτότητα ήταν ποτέ το πρόβλημα.