Azure VPN inter retejoj kun kunulo malantaŭ NAT: kontrolo

Farigu ĉi tiujn kontrolojn laŭvice kaj haltu ĉe la unua, kiu malsukcesas. La plej multaj raportoj, ke Azure ne subtenas aparaton malantaŭ NAT, montriĝas esti kunula adreso, kiun Azure ne povas atingi, aŭ tunelo, kiu neniam komenciĝas de la ĝusta flanko. La ekstera transporto kaj la interna enkursigado estas du malsamaj problemoj, kaj miksi ilin malŝparas posttagmezon. Ĉiu paŝo sube produktas observon, kiun vi povas transdoni al iu alia.

Paŝo 1: konfirmu, ke la kunulo entute estas malantaŭ NAT

Komparu la adreson sur la WAN-fasado de la aparato kun la adreso, kiun Azure vidas por ĝi. Se ili diferencas, io tradukas, kaj tiu tradukilo nun estas parto de via VPN-koncepto. Demandu la provizanton, ĉu la mapado estas statika aŭ kunhava, ĉar kunhava mapado ŝanĝas tion, sur kio vi povas fidi. Aparato kun privata WAN-adreso kaj sen plusendado estas alia kazo ol unu malantaŭ NAT de funkciigista nivelo kun stabila publika mapado.

Se la du adresoj kongruas, haltu ĉi tie: NAT ne estas via problemo kaj la resto de ĉi tiu listo ne helpos.

Notu ambaŭ adresojn kaj la modelon de la tradukilo en la bileto. Tiu unu linio malhelpas la sekvan raŭndon da demandoj pri kial la agordita kunulo ne respondas.

Paŝo 2: interkonsentu, kiu iniciatas

La Azure VPN Gateway FAQ indikas subtenon de NAT-T kaj aldonas, ke la loka aparato devus iniciati la IPsec-tunelon, kiam ĝi staras malantaŭ NAT. Tio kongruas kun tio, kiel funkcias stata tradukado, ĉar la tradukilo tenas mapadon ĉar la interna aparato sendis la unuan paketon. Se oni atendas, ke Azure iniciatu, kaj nenio alvenas por krei tiun mapadon, la tunelo neniam komenciĝas.

Agordi la kunulon tiel, ke eraro de nur-respondanto estos evidenta, kaj kontrolu, ĉu la aparato reprovas memstare aŭ bezonas ekigilon. Iuj aparatoj levigas tunelon nur kiam aperas interesa trafiko, kio estas en ordo ĝis la interesa trafiko estas saniga provo, kiu neniam venas.

Observu la IKE-interŝanĝon sur la aparato dum permana iniciato; silento tie estas respondo de enkursigado aŭ fajroŝirmilo, ne respondo de Azure.

Paŝo 3: guste agordu la kunulan adreson

Azure bezonas atingeblan publikan adreson por la kunulo en sia loka retporda objekto, kutime la publika adreso de la tradukilo anstataŭ la interna adreso de la aparato. La identeco, per kiu la aparato aŭtentikigas, estas aparta kampo kaj povas laŭleĝe diferenci de la adreso, kiun Azure vokas. Tenu la du apartaj, ĉar interŝanĝi ilin produktas aŭtentikigan malsukceson, kiu aspektas ekzakte kiel NAT-problemo.

Se la publika adreso ŝanĝiĝas, tiu objekto devas ŝanĝiĝi kun ĝi. Nomo, kiu solviĝas al malnova adreso, estas pli malbona ol statika adreso, kiun vi devas permane ĝisdatigi.

Skribu ĉiujn tri valorojn: loka adreso de la aparato, tradukita publika adreso, agordita kunula identeco.

Paŝo 4: malfermu nur la pordojn, kiujn NAT-T bezonas

NAT-T portas ESP ene de UDP, kaj RFC 3948 priskribas tiun enkapsuligon kun pordo 4500 uzata post la komenca intertraktado ĉe pordo 500. Via fajroŝirmilo kaj la tradukilo ambaŭ devas permesi la interŝanĝon kaj ĝian revenan trafikon. Permesi ne rilatan TCP-pordon pruvas nenion pri ĉi tiu vojo, kaj regulo, kiu permesas eliron sed ne la respondon, ankoraŭ malsukcesos.

Statika plusendado de envena pordo ne estas aŭtomate bezonata, kiam la kunulo iniciatas kaj la tradukilo tenas staton. Ĝi fariĝas necesa, kiam la mapado malstabilas aŭ kiam io en la vojo agreseme finigas la staton.

Kaptu unufoje ĉe ambaŭ flankoj de la tradukilo; la enkapsuliga diferenco tuj videblas.

Paŝo 5: apartigu eksteran transporton de interna enkursigado

Tunelo, kiu establiĝas kaj portas nenion, estas enkursigada problemo, ne NAT-T-problemo. La retejoj ankoraŭ bezonas kongruajn trafikselektilojn, kongruajn adresspacojn, alirregulojn kaj revenan vojon por la aplikaĵaj retoj. Nenion el tio provizas sukcesa IKE-interŝanĝo.

Se la du retejoj uzas interkovrantajn privatajn gamojn, tradukado ene de la tunelo estas aparta koncepto kun propraj reguloj. Ne renumeru subreton nur ĉar la ekstera pordo hazarde staras malantaŭ hejma enkursigilo.

Klasifiku la malsukceson laŭ stadio antaŭ ol ŝanĝi ion ajn, kaj konservu tiun klasifikon en la bileto, por ke la sekva persono komencu tie, kie vi haltis.