NAT atzean dagoen FortiGate: local-gw, localid eta IP publikoa

NAT atzean dagoen FortiGate batek 10.0.0.2 eduki dezake bere WAN interfazean, internetek 198.51.100.40 gisa aurkezten duen bitartean, eta bi zenbakiak errealak dira. Gailua lotzen den helbidea eta IKE autentifikazioan zehar bidaltzen duen identitatea erabaki bereiziak dira, eremu bereizietan hartuak, publiko bereizientzat. NATek kanpoko helbideratzea berridazten du bidean; ez du identitate autentifikatu bat berridazten urruneko peer-ak espero duen horretan. Forma honetako fase 1 hutsegite gehienak balio zuzena eremu okerrean jartzetik datoz.

Hiru balio, hiru jabe

Hasi hiru balioak eta bakoitzaren jabea izendatzen. local-gw FortiGate-k kanpoko interfazean IKE-rako iturri gisa erabiltzen duen helbidea da, eta gailuak benetan duen helbidea izan behar du. Kanpoko muturra NAT gailuaren helbidea da, eta itzulpena egiten duenarena da. IKE identitatea peer-ak bere konfigurazioarekin parekatzen duen katea da, eta ez da inola ere IP helbidea izan behar.

Eremuen izenak nahikoa hurbil daude ordezkapena gonbidatzeko, eta hori da tranpa. localid eta localid-type identifikazioa deskribatzen dute; local-gw tokiko lotura deskribatzen du.

Adibide batek desberdintasuna zehatz egiten du. FortiGate-an, ireki config vpn ipsec phase1-interface, gero set interface "wan1" eta set local-gw 10.0.0.2 — kaxak duen helbidea, eta horrek egiten du IKE socket-a behar bezala lotzea. Utzi local-gw helbidean 0.0.0.0 eta interfazearen helbidea erabiltzen da, normalean gauza bera baina gutxiago esplizitua. Ez jarri local-gw helbidean 198.51.100.40, gailuak ez baitu helbide hori eta socket-ak ez baita hartara lotuko. Bi balio paperean berdinak ematea ez da konfigurazioa.

1. urratsa: aukeratu peer-ak onartuko duen identitatea

Orain identitatea, erabaki desberdina dena. set localid peer-ak alderatuko duen balioa hartzen du, eta set localid-type FortiGate-ri nola interpretatu esaten dio: helbidea, FQDN bat, erabiltzaile FQDN bat edo gako ID bat. auto rekin gailuak eratortzen du, normalean irteerako interfazearen helbidetik, hau da, NAT gailu batek aldatzeko zorian dagoen balio zehatza.

Eratortze hori da identitate esplizitua topologia honetan garrantzitsua izatearen arrazoia. Peer-ak helbide-identitatea espero badu, jarri localid-type address eta localid peer-ak ikusiko duen helbide publikoan, eta gero egiaztatu peer-ak balio hori identitate gisa onartzen duela, ez bideratze-helburu gisa. Peer-ak FQDN bat espero badu, erabili localid-type fqdn eta konfiguratu zen izena. Egiaztatu benetan zer bidali zen diagnose vpn ike gateway list erabiliz, zeinak atearen egoera eta erabiltzen ari diren identifikatzaileak erakusten dituen, idazteko asmoa zenuena ez ezik. Ez pentsa identitate motako aukera batek tokikoak ez diren helbide arbitrarioak onartzen dituenik; egiaztatu lehenago bertsioaren dokumentatutako semantika.

2. urratsa: birbidali UDP 500 eta 4500 gailura

Hirugarren balioa NAT gailuarena da, eta jendeak egiaztatzea ahazten duen hori da. Kanpoko muturrak UDP 500 eta UDP 4500 FortiGate-ra birbidali behar ditu, NAT-T detekzioak eta ondorengo ESP kapsulatuak biak portu horiek iristearen mende baitaude. Diseinu honek bat-bateko mapaketa suposatzen du; helbide publiko bakarra portuen bidez peer anitzen artean partekatzea beste topologia bat da, muga desberdinekin.

Egiaztatu birbidalketa kaptura batekin, itxaropen batekin baino: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 paketeak iristen diren eta erantzunak irteten diren erakusten du.

Google Cloud VPN-k NAT bat-bat NAT-T-rekin dokumentatzen du NAT atzean dagoen peer baterako onartutako konfigurazio gisa, eta hori da diseinatu beharreko muga urruneko muturra Cloud VPN ate bat bada. Bat-anitz edo portuen bidezko partekatzea ez da onartutako topologia bera, eta tokiko identitate doitzeak ez du hori aldatzen. Urruneko aldea beste gailu bat bada, haren dokumentazioak zehazten du zer onartuko duen identitate gisa eta itzulitako peer helbidea jasaten duen. Irakurri hori tokiko eremu bat aldatu aurretik, tokiko aldeak ezin baitu urruneko aldeak aplikatzen ez duen arau bat negoziatu.

3. urratsa: egiaztatu fase 1-ek zer ez duen konpontzen

NAT zeharkatzeak tunela altxatzen du, identitate adostasunak peer-ak onartuko duen erabakitzen du, eta barne prefijoaren bideratzeak benetan zer zeharkatzen duen erabakitzen du. Tokiko ID zuzen batek ezin du falta den ibilbide estatikorik edo falta den trafiko hautatzailerik eman.

Beraz, egiaztatu geruzaka. get vpn ipsec tunnel details tunela altxatuta dagoen eta zein hautatzaile negoziatu ziren erakusten du, eta konfiguratutako urruneko azpisarea eta negoziatutako hautatzailea bat ez etortzea fase 2 jantziko bideratze arazoa da. execute vpn ike gateway clear berriz negoziatzera behartzen du, beraz uneko konfigurazioa probatzen ari zara, zure azken aldaketaren aurretik ezarritako saioa ez. Gero bidali trafikoa urruneko prefijoko ostalari batera eta egiaztatu kontagailuak mugitzen direla, altxatuta dagoen eta ezer pasatzen ez duen tunel bat funtzionatzen duen baten berdin ikusten baita egiaztatu arte.

Eduki hiru balioak leku bakarrean zure oharretan: gailuak duen tokiko helbidea, NAT gailuak aurkezten duen kanpoko muturra eta peer-ak espero duen identitate katea. Arrazoi desberdinengatik eta une desberdinetan aldatzen dira.

NAT gailua berriz zenbakitzea ez da FortiGate-ren local-gw ukitzearen arrazoia, eta identitatea aldatzea ez da ezer berriz zenbakitzearen arrazoia. Biak nahastea da funtzionatzen duen tunel bat erlaziorik gabeko mantentze-leihoan berreraikitzeko modua. Cloud VPN-ren NAT gida da alde horretan onartutako topologiaren erreferentzia.

Erabakitzen duen proba aspergarria eta azkarra da: egin kaptura kanpoko interfazean, egiaztatu UDP 500 eta 4500 peer-etik iristen direla, egiaztatu IKE trukean identitatea peer-a zer espero behar zuen konfiguratuta dagoenarekin bat datorrela, eta gero egiaztatu negoziatutako hautatzaileek axola dizkizuten azpisareak estaltzen dituztela. Lehen egiaztapenak huts egiten badu, NAT gailua da susmagarria. Bigarrenak huts egiten badu, identitate eremuak dira. Hirugarrenak huts egiten badu, ez NAT ez identitatea ez ziren inoiz arazoa.