Mikä liitäntä saa NATin sisä- ja ulkopuolen roolin IOS VPN -lähdössä
Seuraa purettua asiakaspakettia virtuaaliliitännästä ylävirran linkkiin. Käännös kuuluu tähän sisäiseen virtaukseen, ei tunnelin ulkoiseen kuljetukseen.
Routerit, jotka tarjoavat internet-lähdön täydellä tunnelilla, tekevät kaksi työtä, jotka näyttävät yhdeltä. Ne päättävät tunnelin ja välittävät puretun asiakaspaketin internetiin. Vain toinen työ tarvitsee käännöksen, ja käännöksen on vastattava sisäistä virtausta. Tämä ero ratkaisee, mitkä liitännät kantavat NAT-roolit ja mikä osoitealue säännössä esiintyy.
Seuraa yhtä pakettia reitittimen läpi
Ota asiakas osoitteessa 10.90.0.25, joka avaa julkisen HTTPS-palvelun. Päätyykö tuo kohde ylipäätään tunneliin, on asiakkaan oman käytännön päätös. Kun päätyy, reititin purkaa paketin ja toimittaa sen virtuaaliliitännälle, josta se reititetään julkiseen ylävirran linkkiin.
Tuo virtuaaliliitäntä on käännöksen sisäpuoli. Julkinen ylävirran linkki on ulkopuoli. Jos roolit ovat käänteiset tai puuttuvat, paketti joko lähtee yksityisellä lähteellä tai pudotetaan ennen kuin se käännetään.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Sovita käännöskäytäntö asiakaspooliin
NAT-säännön on nimettävä alue, jonka asiakkaat todella saavat, ei toimiston LANia, joka sattuu jakamaan saman ylävirran linkin. Vain paikallisen aliverkon kattava sääntö ohittaa etäasiakkaat, vaikka molemmat lähtevät saman liitännän kautta.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadPidä yksityisten sivustojen poikkeukset erillään. Liikenne sisäisiin kohteisiin on säilytettävä alkuperäinen lähteensä, muuten kohde vastaa osoitteeseen, johon se ei pääse, ja paluusuunta epäonnistuu tavalla, joka näyttää reitityssilmukalta.
Kohdista roolit käyttöönotetun suunnitelman todellisiin liitäntöihin. Vanhasta Easy VPN -vastauksesta kopioitu Virtual-Template-osuus ei ole täydellinen nykyinen kokoonpano, ja käytettävä tunnelityyppi määrää, mikä liitäntä vastaanottaa puretun paketin.
Pidä ulkoinen kuljetus ja sisäinen käännös erillään
Puretun sovelluslähteen kääntäminen ei ole sama toimenpide kuin IKE- tai suojattujen pakettien työntäminen NAT-laitteen läpi ylempänä. Ensimmäinen muuttaa sitä, mitä internet näkee asiakkaan pyynnön lähteenä; toinen pitää tunnelin elossa välittävän laitteen läpi.
Niiden sekoittaminen tuottaa kaksi klassista vikaa. Reititin, joka kääntää oman tunnelikuljetuksensa, rikkoo vertaissuhteen, kun taas reititin, joka ei koskaan käännä sisäistä virtausta, välittää yksityisiä osoitteita internetiin. Lue, mitä virtausta katsot, ennen kuin muokkaat sääntöä, ja tarkista, pysyikö tunneli pystyssä muutoksen jälkeen. Sääntö, joka korjaa selailun mutta pudottaa tunnelin, on siirtänyt ongelmaa sen ratkaisemisen sijaan.
Kumpaakaan vikaa ei korjata muuttamalla toista. Lue, mitä virtausta katsot, ennen kuin muokkaat sääntöä.
Varmista molemmilla rajoilla
Lue sovelluksen lähde internetin rajalla ja palautettu kohde paluusuunnassa. Ensimmäinen kertoo, tapahtuiko käännös; toinen kertoo, palasiko käänteinen kartoitus oikealle asiakkaalle.
Testaa sitten asiakasta, joka käyttää hyväksyttyä jaetun tunnelin polkua. Se asiakas ei koskaan käytä tämän reitittimen internet-käännöstä, joten sen pitäisi käyttäytyä eri tavalla, ja ero vahvistaa, minkä polun liikenne otti.
Jos molemmat asiakkaat käyttäytyvät samoin, jaetun tunnelin käytäntö ei tee sitä, mitä suunnitelma sanoo. Korjaa se ennen kuin lisäät uusia käännössääntöjä, sillä käyttämättömälle polulle kirjoitettu sääntö peittää todellisen ongelman.