Milline liides saab NAT-i sisemise ja välimise rolli IOS-i VPN-väljundil
Jälgige dekrüpteeritud kliendi paketti virtuaalliideselt ülesvoolu lingile. Tõlge kuulub sellesse sisemisse voogu, mitte tunnelivälisesse transporti.
Täistunnelilise internetiväljundi pakkuvad ruuterid teevad kahte tööd, mis näivad ühena. Need lõpetavad tunneli ja edastavad dekrüpteeritud kliendipaketi internetti. Ainult teine töö vajab tõlget ja tõlge peab vastama sisemisele voolule. See erinevus otsustab, millised liidesed kannavad NAT-i rolle ja milline aadressivahemik reeglis esineb.
Jälgige ühte paketti ruuteri kaudu
Võtke klient aadressil 10.90.0.25, kes avab avaliku HTTPS-teenuse. Kas see sihtkoht üldse tunnelisse satub, on kliendi enda poliitika otsus. Kui satub, dekrüpteerib ruuter paketi ja annab selle virtuaalliidesele, kust see suunatakse avalikule ülesvoolu lingile.
See virtuaalliides on tõlke sisemine pool. Avalik ülesvoolu link on välimine pool. Kui rollid on pööratud või puuduvad, lahkub pakett kas privaatse allikaga või visatakse ära enne tõlkimist.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Sovitage tõlkepoliitika kliendipooliga
NAT-i reegel peab nimetama vahemikku, mille kliendid tegelikult saavad, mitte kontori LAN-i, mis juhtub sama ülesvoolu linki jagama. Ainult kohalikku alavõrku kattev reegel jätab kaugkliendid vahele ka siis, kui mõlemad väljuvad sama liidese kaudu.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadHoidke privaatsete saitide erandid eraldi. Liiklus sisemiste sihtkohtade suunas peab säilitama oma algse allika, muidu vastab sihtkoht aadressile, kuhu see ei ulatu, ja tagasitee ebaõnnestub viisil, mis näeb välja nagu marsruutimistsükkel.
Rakendage rollid juurutatud kavandi tegelikele liidestele. Vanast Easy VPN-i vastusest kopeeritud Virtual-Template'i fragment ei ole täielik praegune konfiguratsioon, ja kasutatav tunnelitüüp määrab, milline liides dekrüpteeritud paketi saab.
Hoidke välimine transport ja sisemine tõlge lahus
Dekrüpteeritud rakenduse allika tõlkimine ei ole sama toiming kui IKE-i või kaitstud pakettide läbisurumine NAT-seadmest ülalpool. Esimene muudab seda, mida internet näeb kliendi päringu allikana; teine hoiab tunnelit elus läbi vahendava seadme.
Nende segiajamine tekitab kaks klassikalist tõrget. Ruuter, mis tõlgib omaenda tunnelitransporti, rikub partnerisuhte, samas kui ruuter, mis ei tõlgi kunagi sisemist voogu, edastab privaatseid aadresse internetti. Lugege, millist voogu vaatate, enne kui reeglit muudate, ja kontrollige, kas tunnel jäi pärast muudatust püsti. Reegel, mis parandab sirvimise, aga laseb tunneli alla, on probleemi nihutanud, mitte lahendanud.
Kumbagi tõrget ei paranda teise muutmine. Lugege, millist voogu vaatate, enne kui reeglit muudate.
Kontrollige mõlemal piiril
Lugege rakenduse allikat interneti piiril ja taastatud sihtkohta tagasiteel. Esimene ütleb, kas tõlge toimus; teine ütleb, kas pöördkaardistus jõudis õige kliendini.
Seejärel katsetage klienti, kes kasutab kinnitatud jagatud tunneli teed. See klient ei kasuta kunagi selle ruuteri internetitõlget, seega peaks käituma teisiti, ja erinevus kinnitab, millist teed liiklus läks.
Kui mõlemad kliendid käituvad ühtemoodi, ei tee jagatud tunneli poliitika seda, mida kavand ütleb. Parandage see enne uute tõlkereeglite lisamist, sest kasutamata tee jaoks kirjutatud reegel varjab tegelikku probleemi.