Hokker ynterface krijt de NAT-binnen- en bûtenrol op in IOS VPN-útgong
Folgje it ûntsifere klantpakket fan 'e firtuele ynterface nei de uplink. De oersetting heart by dy binnenstream, net by it bûtenste ferfier fan 'e tunnel.
Routers dy't in ynternetútgong mei folsleine tunnel leverje, dogge twa taken dy't op ien lykje. Se beëinigje de tunnel en stjoere it ûntsifere klantpakket nei it ynternet. Allinnich de twadde taak hat oersetting nedich, en de oersetting moat by de binnenstream passe. Dat ûnderskie bepaalt hokker ynterfaces de NAT-rollen drage en hokker adresberik yn 'e regel ferskynt.
Folgje ien pakket troch de router
Nim in klant op 10.90.0.25 dy't in iepenbiere HTTPS-tsjinst iepenet. Oft dy bestimming wol of net yn 'e tunnel komt, is in beslút fan it belied fan 'e klant sels. As it bart, ûntsiferet de router it pakket en leveret it oan in firtuele ynterface, fan wêr't it nei de iepenbiere uplink rûte wurdt.
Dy firtuele ynterface is de binnenkant fan 'e oersetting. De iepenbiere uplink is de bûtenkant. As de rollen omkeard of mist wurde, ferlit it pakket óf mei in privee boarne óf it wurdt weilitten foardat it oerset wurdt.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Pas it oersettingsbelied oan by de klantpool
De NAT-regel moat it berik neame dat de klanten echt krije, net it kantoar-LAN dat tafallich deselde uplink dielt. In regel dy't allinnich it lokale subnet beslacht, mist de klanten op ôfstân, sels as beide troch deselde ynterface geane.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadHâld útsûnderingen foar privee siden apart. Ferfier nei ynterne bestimmingen moat syn oarspronklike boarne behâlde, oars antwurdet de bestimming op in adres dat it net berikke kin, en de weromwei mislearret op in wize dy't op in routinglus liket.
Pas de rollen ta op 'e echte ynterfaces yn it útrôle ûntwerp. In Virtual-Template-fragmint dat fan in âld Easy VPN-antwurd kopiearre is, is gjin folsleine aktuele konfiguraasje, en it brûkte tunneltype bepaalt hokker ynterface it ûntsifere pakket krijt.
Hâld bûten ferfier en binnen oersetting apart
In ûntsifere applikaasjeboarne oersette is net deselde operaasje as IKE- of beskerme pakketten troch in NAT-apparaat heger op stjoere. It earste feroaret wat it ynternet as boarne fan 'e klantoanfraach sjocht; it twadde hâldt in tunnel libben troch in tuskenapparaat.
Se trochinoar helje jout twa klassike flaters. In router dy't syn eigen tunnelferfier oerset, brekt de peer-relaasje, wylst in router dy't de binnenstream nea oerset privee adressen nei it ynternet stjoert. Lês hokker stream jo sjogge foardat jo in regel bewurkje, en kontrolearje oft de tunnel nei de wiziging oerein bleau. In regel dy't it browsen reparearret mar de tunnel lit falle, hat it probleem ferpleatst ynstee fan oplost.
Gjin fan beide flaters wurdt reparearre troch de oare te feroarjen. Lês hokker stream jo sjogge foardat jo in regel bewurkje.
Kontrolearje op beide grinzen
Lês de applikaasjeboarne op 'e ynternetgrins, en de werombrochte bestimming op 'e weromwei. It earste seit oft de oersetting barde; it twadde seit oft de omkearde mapping by de juste klant weromkaam.
Test dan in klant dy't in goedkarde split-tunnelpaad brûkt. Dy klant brûkt nea de ynternetoersetting fan dizze router, dat hy moat oars reagearje, en it ferskil befêstiget hokker paad it ferfier naam.
As beide klanten itselde reagearje, docht it split-tunnelbelied net wat it ûntwerp seit. Reparearje dat foardat jo mear oersettingsregels tafoegje, want in regel skreaun foar in net-brûkt paad ferberget it echte probleem.