Azure gunez guneko VPN NAT atzean dagoen pareko batekin: egiaztapen-zerrenda

Egin egiaztapen hauek hurrenkeran eta gelditu lehenengo huts egiten duenean. Azurek NAT atzean dagoen gailu bat onartzen ez duela dioen txosten gehienak Azurek iritsi ezin duen pareko-helbide bat dira, edo alde zuzenetik inoiz hasten ez den tunel bat. Kanpoko garraioa eta barne-bideratzea bi arazo desberdin dira, eta haiek nahasteak arratsalde bat galtzen du. Beheko urrats bakoitzak beste norbaiti eman diezaiokezun behaketa bat sortzen du.

1. urratsa: berretsi parekoa NAT atzean dagoela

Konparatu gailuaren WAN interfazearen helbidea Azurek berarentzat ikusten duen helbidearekin. Ezberdinak badira, zerbait itzultzen ari da, eta itzultzaile hori zure VPN diseinuaren parte da orain. Galdetu hornitzaileari mapatzea estatikoa edo partekatua den, mapatze partekatu batek fidatu zaitezkeen aldatzen baitu. WAN helbide pribatua duen eta birbidalketarik gabeko gailua beste kasu bat da, mapatze publiko egonkorra duen eramaile-mailako NAT baten atzean dagoen gailuarena ez bezala.

Bi helbideak bat badatoz, gelditu hemen: NAT ez da zure arazoa eta zerrenda honen gainerakoak ez du lagunduko.

Idatzi bi helbideak eta itzultzailearen modeloa txartelean. Lerro bakar horrek hurrengo galdera-sorta eragozten du konfiguratutako parekoak zergatik ez duen erantzuten.

2. urratsa: adostu nor hasten den

Azure VPN Gateway-ren ohiko galderak atalak NAT-Tren euskarria aipatzen du eta gehitzen du tokiko gailuak IPsec tunela hasi behar duela NAT atzean dagoenean. Hori bat dator egoerarekin itzultzeak nola funtzionatzen duen, itzultzaileak mapatze bat mantentzen baitu barne-gailuak lehen paketea bidali zuelako. Azurek hasi behar badu eta mapatze hori sortzeko ezer iristen ez bada, tunela ez da inoiz hasten.

Konfiguratu parekoa soilik-erantzule akatsa begi-bistakoa izan dadin, eta egiaztatu gailuak bere kabuz berriro saiatzen duen edo eragile bat behar duen. Gailu batzuek tunela trafiko interesgarria agertzean soilik altxatzen dute, eta hori ondo dago trafiko interesgarria inoiz iristen ez den osasun-zunda bat izan arte.

Behatu gailuko IKE trukea eskuzko hasieretan; han isiltasunak bideratze edo suebaki erantzuna esan nahi du, ez Azure erantzuna.

3. urratsa: asmatu parekoaren helbidea

Azurek parekoarentzat helbide publiko iristekoa behar du bere tokiko sare-pasabidearen objektuan, normalean itzultzailearen helbide publikoa, ez gailuaren barne-helbidea. Gailuak autentifikatzeko erabiltzen duen identitatea eremu bereizia da eta legituki desberdina izan daiteke Azurek markatzen duen helbidearekiko. Mantendu biak bereizita, haiek trukatzeak NAT arazo baten itxura zehatza duen autentifikazio-akatsa sortzen baitu.

Helbide publikoa aldatzen bada, objektu horrek berarekin aldatu behar du. Helbide zaharkitu batera ebazten den izen bat eskuz eguneratu beharreko helbide estatiko bat baino okerragoa da.

Idatzi hiru balioak: gailuaren tokiko helbidea, itzulitako helbide publikoa eta konfiguratutako parekoaren identitatea.

4. urratsa: ireki NAT-Tk behar dituen atakak soilik

NAT-Tk ESP UDP barruan eramaten du, eta RFC 3948k kapsulatze hori deskribatzen du, 4500 ataka 500 atakan hasierako negoziazioaren ondoren erabilita. Zure suebakiak eta itzultzaileak trukea eta haren itzulera-trafikoa baimendu behar dituzte. Erlaziorik gabeko TCP ataka bat baimenduta ez du ezer frogatzen bide honi buruz, eta irteera baina erantzuna baimendu ez duen arauak huts egingo du oraindik.

Sarrerako atakaren birbidalketa estatikoa ez da automatikoki beharrezkoa parekoak hasten duenean eta itzultzaileak egoera mantentzen duenean. Beharrezkoa bihurtzen da mapatzea ezegonkorra denean edo bidean zerbait egoera oldarkorki iraungitzen denean.

Harrapatu behin itzultzailearen bi aldeetan; kapsulatzearen aldea berehala ikusten da.

5. urratsa: bereizi kanpoko garraioa barne-bideratzetik

Ezarri eta ezer eramaten ez duen tunel bat bideratze-arazoa da, ez NAT-T arazoa. Guneek oraindik trafiko-hautatzaile bateragarriak, helbide-espazio bat datozenak, sarbide-arauak eta aplikazio-sareentzako itzulera-bidea behar dituzte. Horietako bat ere ez du IKE truke arrakastatsu batek ematen.

Bi guneeek gainjartzen diren barruti pribatuak erabiltzen badituzte, tunelaren barneko itzulpena diseinu bereizia da, bere arauekin. Ez berridatzi azpisare baten zenbakia kanpoko pasabidea etxeko bideratzaile baten atzean dagoelako soilik.

Sailkatu hutsegitea etaparen arabera ezer aldatu aurretik, eta mantendu sailkapen hori txartelean hurrengo pertsonak zu gelditu zinen tokian has dadin.