FortiGate taobh thiar de NAT: local-gw, localid agus an IP poiblí

Is féidir le FortiGate taobh thiar de NAT 10.0.0.2 a bheith aige ar a chomhéadan WAN agus é á thaispeáint ag an idirlíon mar 198.51.100.40, agus tá an dá uimhir fíor. Is roghanna ar leithligh iad an seoladh a nascann an gléas leis agus an fhéiniúlacht a sheolann sé le linn fhíordheimhniú IKE, déanta i réimsí ar leithligh, do lucht féachana ar leithligh. Athscríobhann NAT an seoladh seachtrach agus é ag dul thar bráid; ní athscríobhann sé féiniúlacht fhíordheimhnithe go dtí an rud a bhfuil an peer i bhfad ag súil leis. Tagann an chuid is mó de theipeanna chéim 1 sa chruth seo ón luach ceart a chur sa réimse mícheart.

Trí luach, trí úinéir

Cuir tús trí ainmniú na dtrí luach agus cé a bhfuil gach ceann acu. local-gw is ea an seoladh a úsáideann an FortiGate mar fhoinse do IKE ar a chomhéadan seachtrach, agus caithfidh sé a bheith ina sheoladh atá ag an ngléas i ndáiríre. Is é an críochphointe poiblí seoladh an ghléis NAT, agus is leis an té a dhéanann an t-aistriúchán é. Is teaghrán í féiniúlacht IKE a mheaitseálann an peer lena chumraíocht féin, agus ní gá di a bheith ina seoladh IP ar chor ar bith.

Tá ainmneacha na réimsí sách gar chun cuireadh a thabhairt don ionadú, agus sin an gaiste. localid agus localid-type cur síos ar shainaithint; local-gw cur síos ar cheangal áitiúil.

Déanann sampla an t-idirdhealú nithiúil. Ar an FortiGate, oscail config vpn ipsec phase1-interface, ansin set interface "wan1" agus set local-gw 10.0.0.2 — seoladh atá ag an mbosca, agus is é sin a dhéanann an socket IKE a cheangal go rathúil. Fág local-gw ag 0.0.0.0 agus úsáidtear seoladh an chomhéadain, rud a bhíonn mar an gcéanna de ghnáth ach níos lú soiléir. Ná socraigh local-gw go 198.51.100.40, mar níl an seoladh sin ag an ngléas agus ní cheanglóidh an socket leis. Ní cumraíocht é dhá luach a dhéanamh cothrom ar pháipéar.

Céim 1: roghnaigh an fhéiniúlacht a ghlacfaidh an peer

Anois an fhéiniúlacht, ar cinneadh difriúil í. set localid glacann sé an luach a chuirfidh an peer i gcomparáid, agus set localid-type insíonn sé don FortiGate conas é a léirmhíniú: seoladh, FQDN, FQDN úsáideora nó ID eochrach. Le auto díorthaíonn an gléas é, de ghnáth ó sheoladh an chomhéadain amach, arb é go díreach an luach a bhfuil gléas NAT ar tí é a athrú.

Sin an chúis a bhfuil tábhacht le féiniúlacht shainráite sa topolaíocht seo. Má tá féiniúlacht seolta ag súil ag an peer, socraigh localid-type address agus localid chuig an seoladh poiblí a fheicfidh an peer, ansin deimhnigh go nglacann an peer leis an luach sin mar fhéiniúlacht seachas mar sprioc ródaithe. Má tá FQDN ag súil ag an peer, úsáid localid-type fqdn agus an t-ainm a cumraíodh é leis. Fíoraigh cad a seoladh i ndáiríre le diagnose vpn ike gateway list, a thaispeánann staid an gheata agus na haitheantóirí atá in úsáid seachas an rud a bhí ar intinn agat a chlóscríobh. Ná glac leis go nglacann rogha de chineál féiniúlachta le seoladh neamh-áitiúil treallach; seiceáil séimeantaic dhoiciméadaithe an eisithe ar dtús.

Céim 2: seol UDP 500 agus 4500 chuig an ngléas

Baineann an tríú luach le gléas NAT, agus is é an ceann a ndéanann daoine dearmad a sheiceáil. Caithfidh an críochphointe poiblí UDP 500 agus UDP 4500 a sheoladh chuig an FortiGate, mar braitheann brath NAT-T agus an ESP ionchochallaithe a leanann araon ar na portanna sin a theacht. Glacann an dearadh seo le mapáil duine le duine; is topolaíocht eile le teorainneacha eile é comhroinnt seolta amháin phoiblí de réir port idir roinnt peer.

Deimhnigh an t-atreorú le gabháil seachas le dóchas: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 taispeánann sé an bhfuil paicéid ag teacht agus an bhfuil freagraí ag imeacht.

Doiciméadaíonn Google Cloud VPN NAT duine le duine le NAT-T mar an socrú tacaíochta do peer taobh thiar de NAT, agus sin an srian a chaithfear a dhearadh ina choinne má tá an taobh i bhfad ina gheata Cloud VPN. Ní hé comhroinnt duine le go leor nó de réir port an topolaíocht tacaíochta chéanna, agus ní athraíonn aon mhéid de thiúnadh féiniúlachta áitiúla é sin. Más gléas eile an taobh i bhfad, sainmhíníonn a dhoiciméadú féin cad a ghlacfaidh sé mar fhéiniúlacht agus an nglacann sé le seoladh peer aistrithe. Léigh é sin sula n-athraíonn tú réimse áitiúil, mar ní féidir leis an taobh áitiúil riail a chaibidil nach gcuireann an taobh i bhfad i bhfeidhm í.

Céim 3: seiceáil cad nach réitíonn céim 1

Cuireann trasnú NAT an tollán suas, cinneann comhaontú féiniúlachta an nglacann an peer leis, agus cinneann ródú an réimír istigh cad a thrasnaíonn i ndáiríre. Ní féidir le ID áitiúil ceart bealach statach atá in easnamh nó roghnóir tráchta atá in easnamh a sholáthar.

Fíoraigh i sraitheanna mar sin. get vpn ipsec tunnel details taispeánann sé an bhfuil an tollán suas agus cé na roghnóirí a caibidlíodh, agus is fadhb ródaithe i gcóisir chéim 2 é neamhréir idir an fosubnet i bhfad atá cumraithe agus an roghnóir caibidlithe. execute vpn ike gateway clear cuireann sé athchaibidlíocht i bhfeidhm, mar sin tá tú ag tástáil na cumraíochta reatha seachas seisiún a bunaíodh roimh do athrú deireanach. Ansin seol trácht chuig óstach sa réimír i bhfad agus deimhnigh go mbogann na cuntair, mar tá cuma chomhionann ar thollán atá suas agus nach dtéann aon rud tríd agus ceann atá ag obair go dtí go seiceálann tú.

Coinnigh na trí luach in aon áit amháin i do nótaí: an seoladh áitiúil atá ag an ngléas, an críochphointe poiblí a thaispeánann an gléas NAT, agus teaghrán na féiniúlachta a bhfuil an peer ag súil leis. Athraíonn siad ar chúiseanna éagsúla agus ag amanna éagsúla.

Ní cúis é athuimhriú gléis NAT chun local-gw an FortiGate a bhaint, agus ní cúis é athrú féiniúlachta aon rud a athuimhriú. Is é meascadh an dá rud an chaoi a ndéantar tollán atá ag obair a atógáil le linn fuinneog cothabhála neamhghaolmhar. Is é treoir NAT Cloud VPN an tagairt don topolaíocht tacaíochta ar an taobh sin.

Tá an tástáil a shocraíonn é leadránach agus tapa: déan gabháil ar an gcomhéadan seachtrach, deimhnigh go dtagann UDP 500 agus 4500 ón peer, deimhnigh go meaitseálann an fhéiniúlacht sa mhalartú IKE an rud a cumraíodh an peer chun a bheith ag súil leis, ansin deimhnigh go gclúdaíonn na roghnóirí caibidlithe na fosubnetí a bhfuil tábhacht leo duit. Má theipeann ar an gcéad seiceáil, is é an gléas NAT an t-amhrasach. Má theipeann ar an dara ceann, is iad na réimsí féiniúlachta é. Má theipeann ar an tríú ceann, ní raibh NAT ná féiniúlacht riamh mar fhadhb.