Zein interfazek jasotzen du NAT barneko eta kanpoko rola IOS VPN irteera batean
Jarraitu deskifratutako bezeroaren paketea interfaze birtualetik gorako estekara. Itzulpena barneko fluxu horri dagokio, ez tunelaren kanpoko garraioari.
Tunel osoko internet irteera ematen duten bideratzaileek bat diruditen bi lan egiten dituzte. Tunela amaitzen dute eta deskifratutako bezeroaren paketea internetra bidaltzen dute. Bigarren lanak soilik behar du itzulpena, eta itzulpenak barneko fluxuarekin bat etorri behar du. Bereizketa horrek erabakitzen du zein interfazek daramatzaten NAT rolak eta zein helbide tarte agertzen den arauan.
Jarraitu pakete bat bideratzailean zehar
Har ezazu 10.90.0.25 helbideko bezero bat HTTPS zerbitzu publiko bat irekitzen duena. Helmuga hori tunelera sartzen den ala ez bezeroaren politikaren erabakia da. Sartzen denean, bideratzaileak paketea deskifratu eta interfaze birtual bati ematen dio, eta handik gorako esteka publikora bideratzen da.
Interfaze birtual hori itzulpenaren barnealdea da. Gorako esteka publikoa kanpoaldea da. Rolak alderantzikatuta badaude edo falta badira, paketea jatorri pribatu batekin irteten da edo itzuli aurretik botatzen da.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Egokitu itzulpen politika bezeroen multzora
NAT arauak bezeroek benetan jasotzen duten tartea izendatu behar du, ez kasualitatez gorako esteka bera partekatzen duen bulegoko LANa. Tokiko azpisarea soilik estaltzen duen arauak urrutiko bezeroak galduko ditu, biak interfaze beretik irten arren.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadEduki itzazu gune pribatuen salbuespenak bereizita. Barneko helmugekiko trafikoak bere jatorrizko iturria mantendu behar du, bestela helmugak ezin duen helbide bati erantzungo dio eta itzulerako bideak hutsegitea izango du, bideratze begizta baten itxuraz.
Ezarri rolak inplementatutako diseinuko benetako interfazeetan. Easy VPN erantzun zahar batetik kopiatutako Virtual-Template zati bat ez da uneko konfigurazio osoa, eta erabiltzen den tunel motak zehazten du zein interfazek jasoko duen deskifratutako paketea.
Bereizi kanpoko garraioa eta barneko itzulpena
Deskifratutako aplikazio jatorri bat itzultzea ez da IKE edo babestutako paketeak NAT gailu batetik gorago bultzatzea bezalako eragiketa bera. Lehenak aldatzen du internetera bezeroaren eskaeraren jatorri gisa ikusten duena; bigarrenak tunela bizirik mantentzen du tarteko kutxa baten bidez.
Biak nahasteak huts egite klasiko bi sortzen ditu. Bere tunel garraioa itzultzen duen bideratzaileak parearen harremana hausten du, barneko fluxua inoiz itzultzen ez duen bideratzaileak berriz helbide pribatuak internetra bidaltzen ditu. Irakurri zein fluxuri begiratzen diozun araua editatu aurretik, eta egiaztatu tunela zutik geratu ote zen aldaketaren ondoren. Nabigazioa konpondu baina tunela botatzen duen arauak arazoa lekuz aldatu du, konpondu beharrean.
Bi hutsegiteetatik bat ere ez da konpontzen bestea aldatuta. Irakurri zein fluxuri begiratzen diozun araua editatu aurretik.
Egiaztatu bi mugan
Irakurri aplikazioaren jatorria interneteko mugan, eta leheneratutako helmuga itzulerako bidean. Lehenak esaten du itzulpena gertatu ote zen; bigarrenak esaten du alderantzizko mapatzea bezero egokira itzuli ote zen.
Ondoren probatu onartutako tunel zatituaren bidea erabiltzen duen bezero bat. Bezero horrek ez du inoiz bideratzaile honen internet itzulpena erabiltzen, beraz desberdin jokatu behar du, eta alderaketak baieztatzen du trafikoak zein bide hartu zuen.
Bi bezeroek berdin jokatzen badute, tunel zatituaren politikak ez du diseinuak dioena egiten. Konpondu hori itzulpen arau gehiago gehitu aurretik, ez erabiltzen den bide baterako idatzitako arauak arazo erreala ezkutatzen baitu.