Ποια διεπαφή παίρνει τον ρόλο NAT εσωτερικά και εξωτερικά σε έξοδο VPN με IOS

Οι δρομολογητές που παρέχουν έξοδο στο διαδίκτυο με πλήρη σήραγγα κάνουν δύο εργασίες που μοιάζουν με μία. Τερματίζουν τη σήραγγα και προωθούν το αποκρυπτογραφημένο πακέτο του πελάτη στο διαδίκτυο. Μόνο η δεύτερη εργασία χρειάζεται μετάφραση, και η μετάφραση πρέπει να ταιριάζει με την εσωτερική ροή. Αυτή η διάκριση καθορίζει ποιες διεπαφές φέρουν τους ρόλους NAT και ποιο εύρος διευθύνσεων εμφανίζεται στον κανόνα.

Ακολουθήστε ένα πακέτο μέσα από τον δρομολογητή

Πάρτε έναν πελάτη στη διεύθυνση 10.90.0.25 που ανοίγει μια δημόσια υπηρεσία HTTPS. Το αν ο προορισμός αυτός μπαίνει καθόλου στη σήραγγα είναι απόφαση της πολιτικής του ίδιου του πελάτη. Μόλις μπει, ο δρομολογητής αποκρυπτογραφεί το πακέτο και το παραδίδει σε μια εικονική διεπαφή, από όπου δρομολογείται προς τον δημόσιο ανάντη σύνδεσμο.

Αυτή η εικονική διεπαφή είναι η εσωτερική πλευρά της μετάφρασης. Ο δημόσιος ανάντη σύνδεσμος είναι η εξωτερική πλευρά. Αν οι ρόλοι αντιστραφούν ή λείπουν, το πακέτο είτε φεύγει με ιδιωτική πηγή είτε απορρίπτεται πριν μεταφραστεί.

Ταιριάξτε την πολιτική μετάφρασης με τη δεξαμενή πελατών

Ο κανόνας NAT πρέπει να ονομάζει το εύρος που λαμβάνουν πραγματικά οι πελάτες, όχι το LAN του γραφείου που τυχαίνει να μοιράζεται τον ίδιο ανάντη σύνδεσμο. Ένας κανόνας που καλύπτει μόνο το τοπικό υποδίκτυο χάνει τους απομακρυσμένους πελάτες ακόμη και όταν και οι δύο βγαίνουν από την ίδια διεπαφή.

ip access-list extended NAT-TUNNEL
 permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overload

Κρατήστε χωριστές τις εξαιρέσεις για ιδιωτικούς ιστότοπους. Η κίνηση προς εσωτερικούς προορισμούς πρέπει να διατηρεί την αρχική της πηγή, αλλιώς ο προορισμός θα απαντήσει σε μια διεύθυνση που δεν μπορεί να φτάσει και το σκέλος επιστροφής θα αποτύχει με τρόπο που μοιάζει με βρόχο δρομολόγησης.

Εφαρμόστε τους ρόλους στις πραγματικές διεπαφές του αναπτυγμένου σχεδίου. Ένα τμήμα Virtual-Template αντιγραμμένο από παλιά απάντηση Easy VPN δεν είναι πλήρης τρέχουσα διαμόρφωση, και ο τύπος σήραγγας που χρησιμοποιείται καθορίζει ποια διεπαφή λαμβάνει το αποκρυπτογραφημένο πακέτο.

Κρατήστε χωριστά την εξωτερική μεταφορά και την εσωτερική μετάφραση

Η μετάφραση μιας αποκρυπτογραφημένης πηγής εφαρμογής δεν είναι η ίδια πράξη με τη διοχέτευση πακέτων IKE ή προστατευμένων πακέτων μέσα από συσκευή NAT πιο πάνω. Η πρώτη αλλάζει τι βλέπει το διαδίκτυο ως πηγή του αιτήματος του πελάτη· η δεύτερη κρατά μια σήραγγα ζωντανή μέσα από ένα ενδιάμεσο κουτί.

Η σύγχυση τους παράγει δύο κλασικές αστοχίες. Ένας δρομολογητής που μεταφράζει τη δική του μεταφορά σήραγγας σπάει τη σχέση με τον ομότιμο, ενώ ένας δρομολογητής που δεν μεταφράζει ποτέ την εσωτερική ροή προωθεί ιδιωτικές διευθύνσεις στο διαδίκτυο. Διαβάστε ποια ροή κοιτάτε πριν επεξεργαστείτε έναν κανόνα και ελέγξτε αν η σήραγγα έμεινε ενεργή μετά την αλλαγή. Ένας κανόνας που διορθώνει την περιήγηση αλλά ρίχνει τη σήραγγα μετακίνησε το πρόβλημα αντί να το λύσει.

Καμία από τις δύο αστοχίες δεν διορθώνεται αλλάζοντας την άλλη. Διαβάστε ποια ροή κοιτάτε πριν επεξεργαστείτε έναν κανόνα.

Επαληθεύστε και στα δύο σύνορα

Διαβάστε την πηγή της εφαρμογής στο σύνορο του διαδικτύου και τον αποκατεστημένο προορισμό στο σκέλος επιστροφής. Η πρώτη λέει αν έγινε η μετάφραση· η δεύτερη λέει αν η αντίστροφη αντιστοίχιση επέστρεψε στον σωστό πελάτη.

Έπειτα δοκιμάστε έναν πελάτη που χρησιμοποιεί εγκεκριμένη διαδρομή διαχωρισμένης σήραγγας. Αυτός ο πελάτης δεν ενεργοποιεί ποτέ τη μετάφραση διαδικτύου αυτού του δρομολογητή, άρα πρέπει να συμπεριφέρεται διαφορετικά, και η διαφορά επιβεβαιώνει ποια διαδρομή πήρε η κίνηση.

Αν και οι δύο πελάτες συμπεριφέρονται ίδια, η πολιτική διαχωρισμένης σήραγγας δεν κάνει αυτό που λέει το σχέδιο. Διορθώστε το πριν προσθέσετε περισσότερους κανόνες μετάφρασης, γιατί ένας κανόνας γραμμένος για διαδρομή που δεν χρησιμοποιείται κρύβει το πραγματικό πρόβλημα.