Kiun interfacon ricevas la NAT-rolo interne kaj ekstere ĉe IOS VPN-eliro

Enkursigiloj, kiuj provizas interretan eliron per plena tunelo, plenumas du taskojn, kiuj aspektas kiel unu. Ili finigas la tunelon kaj plusendas la malĉifritan klientan paketon al la interreto. Nur la dua tasko bezonas tradukon, kaj la traduko devas kongrui kun la interna fluo. Tiu distingo decidas, kiuj interfacoj portas la NAT-rolojn kaj kiu adresaro aperas en la regulo.

Sekvu unu paketon tra la enkursigilo

Prenu klienton ĉe 10.90.0.25, kiu malfermas publikan HTTPS-servon. Ĉu tiu celloko entute eniras la tunelon, estas decido de la politiko de la kliento mem. Poste la enkursigilo malĉifras la paketon kaj transdonas ĝin al virtuala interfaco, de kie ĝi estas enkursigita al la publika suprenligo.

Tiu virtuala interfaco estas la interna flanko de la traduko. La publika suprenligo estas la ekstera flanko. Se la roloj estas inversigitaj aŭ mankas, la paketo aŭ eliras kun privata fonto aŭ estas forĵetita antaŭ ol ĝi estos tradukita.

Agordadu la tradukan politikon al la klienta grupo

La NAT-regulo devas nomi la aron, kiun la klientoj efektive ricevas, ne la oficejan LAN, kiu hazarde kunhavas la saman suprenligon. Regulo, kiu kovras nur la lokan subreton, maltrafas malproksimajn klientojn eĉ kiam ambaŭ eliras tra la sama interfaco.

ip access-list extended NAT-TUNNEL
 permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overload

Tenu aparte la esceptojn por privataj retejoj. Trafiko al internaj cellokoj devas konservi sian originan fonton, alie la celloko respondos al adreso, kiun ĝi ne povas atingi, kaj la revena kruro fiaskos tiel, ke ĝi aspektas kiel enkursiga buklo.

Apliku la rolojn al la efektivaj interfacoj en la efektivigita dezajno. Fragmento de Virtual-Template kopiita el malnova respondo pri Easy VPN ne estas kompleta nuna agordo, kaj la uzata tunela tipo decidas, kiu interfaco ricevas la malĉifritan paketon.

Tenu aparte la eksteran transporton kaj la internan tradukon

Traduki malĉifritan aplikaĵan fonton ne estas la sama operacio kiel puŝi IKE aŭ protektitajn paketojn tra NAT-aparato pli supre. La unua ŝanĝas tion, kion la interreto vidas kiel fonton de la peto de la kliento; la dua tenas tunelon viva tra meza skatolo.

Konfuzi ilin produktas du klasikajn fiaskojn. Enkursigilo, kiu tradukas sian propran tunelan transporton, rompas la rilaton kun la kunulo, dum enkursigilo, kiu neniam tradukas la internan fluon, plusendas privatajn adresojn al la interreto. Legu, kiun fluon vi rigardas, antaŭ ol redakti regulon, kaj kontrolu, ĉu la tunelo restis aktiva post la ŝanĝo. Regulo, kiu riparas retumadon sed faligas la tunelon, movis la problemon anstataŭ solvi ĝin.

Neniu el la du fiaskoj solviĝas per ŝanĝo de la alia. Legu, kiun fluon vi rigardas, antaŭ ol redakti regulon.

Kontrolu ĉe ambaŭ limoj

Legu la aplikaĵan fonton ĉe la interreta limo, kaj la restarigitan cellokon sur la revena kruro. La unua diras, ĉu la traduko okazis; la dua diras, ĉu la inversa mapado revenis al la ĝusta kliento.

Poste testu klienton, kiu uzas aprobitan vojon de dividita tunelo. Tiu kliento neniam uzas la interretan tradukon de tiu enkursigilo, do ĝi devus konduti alie, kaj la diferenco konfirmas, kiun vojon la trafiko prenis.

Se ambaŭ klientoj kondutas same, la politiko de dividita tunelo ne faras tion, kion diras la dezajno. Riparu tion antaŭ ol aldoni pliajn tradukajn regulojn, ĉar regulo skribita por neuzata vojo kaŝas la veran problemon.