FortiGate a bayan NAT: local-gw, localid da IP na jama'a

FortiGate a bayan NAT na iya mallakar 10.0.0.2 a kan hanyar sadarwar WAN ɗinsa yayin da intanet ke nuna shi a matsayin 198.51.100.40, kuma duka lambobin gaskiya ne. Adireshin da na'urar ke ɗaure da shi da asalin da take aikawa yayin tabbatarwar IKE zaɓuɓɓuka ne daban, waɗanda aka yi a filaye daban, don masu sauraro daban. NAT yana sake rubuta adireshin waje yayin wucewa; ba ya sake rubuta tabbataccen asali zuwa abin da peer na nesa yake tsammani. Yawancin gazawar mataki na 1 a wannan siffa suna zuwa ne daga sanya ƙimar da ta dace a filin da bai dace ba.

Ƙimomi uku, masu shi uku

Fara da ambaton ƙimomin uku da wanda ya mallaki kowanne. local-gw shine adireshin da FortiGate ke amfani da shi a matsayin tushen IKE a hanyarsa ta waje, kuma dole ne ya zama adireshin da na'urar ke da shi a zahiri. Wurin ƙarshe na jama'a shine adireshin na'urar NAT, mallakar wanda ke yin fassarar. Asalin IKE shine zaren da peer ke kwatanta da nasa tsarin, kuma ba lallai ba ne ya zama adireshin IP kwata-kwata.

Sunayen filayen suna kusa sosai har suna kiran musanya, kuma wannan shine tarko. localid da localid-type suna bayyana ganewa; local-gw yana bayyana ɗaurewar gida.

Misali yana sa bambancin ya zama bayyananne. A kan FortiGate, buɗe config vpn ipsec phase1-interface, sannan set interface "wan1" da set local-gw 10.0.0.2 — adireshin da akwatin ke da shi, kuma shine ke sa soket ɗin IKE ya ɗaure cikin nasara. Bar local-gw a 0.0.0.0 sai an yi amfani da adireshin hanyar sadarwa, wanda yawanci abu ɗaya ne amma ba a bayyane sosai ba. Kada ka saita local-gw zuwa 198.51.100.40, domin na'urar ba ta mallaki wannan adireshin kuma soket ɗin ba zai ɗaure da shi ba. Sanya ƙimomi biyu su yi kama da daidaita a takarda ba tsari ba ne.

Mataki na 1: zaɓi asalin da peer zai karɓa

Yanzu asalin, wanda shine yanke shawara daban. set localid yana ɗaukar ƙimar da peer zai kwatanta, kuma set localid-type yana gaya wa FortiGate yadda za a fassara ta: adireshi, FQDN, FQDN na mai amfani ko ID na maɓalli. Da auto na'urar tana fitar da ita, yawanci daga adireshin hanyar sadarwa mai fita, wanda shine ainihin ƙimar da na'urar NAT ke shirin canzawa.

Wannan fitarwar ita ce dalilin da ya sa bayyanannen asali ke da muhimmanci a wannan tsarin. Idan peer yana tsammanin asalin adireshi, saita localid-type address da localid zuwa adireshin jama'a da peer zai gani, sannan tabbatar peer ya karɓi wannan ƙimar a matsayin asali ba a matsayin manufar tafiya ba. Idan peer yana tsammanin FQDN, yi amfani da localid-type fqdn da sunan da aka tsara shi da shi. Tabbatar da abin da aka aika da gaske da diagnose vpn ike gateway list, wanda ke nuna yanayin ƙofar da masu ganowa da ake amfani da su ba abin da kuka yi niyyar rubutawa ba. Kada ka ɗauka cewa zaɓin nau'in asali yana karɓar kowane adireshin da ba na gida ba; fara duba ma'anar da aka rubuta na fitowar.

Mataki na 2: tura UDP 500 da 4500 zuwa na'urar

Ƙimar ta uku ta na'urar NAT ce, kuma ita ce da mutane ke manta dubawa. Wurin ƙarshe na jama'a dole ne ya tura UDP 500 da UDP 4500 zuwa FortiGate, domin gano NAT-T da ESP ɗin da aka lulluɓe da ke biyo baya duka sun dogara da isowar waɗannan tashoshin. Wannan ƙira yana ɗauka taswirar ɗaya-zuwa-ɗaya; raba adireshin jama'a guda ɗaya ta tashoshi tsakanin peers da yawa wani tsari ne daban da iyakoki daban.

Tabbatar da turawa da kamawa ba da fata ba: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 yana nuna ko fakiti suna isowa da ko amsoshi suna fita.

Google Cloud VPN yana rubuta NAT ɗaya-zuwa-ɗaya tare da NAT-T a matsayin shirin da ake tallafawa ga peer a bayan NAT, kuma wannan shine iyakar da ya kamata a tsara mata idan ƙarshen nesa ƙofar Cloud VPN ce. Rabawa ɗaya-zuwa-dayawa ko ta tashoshi ba shine tsarin da ake tallafawa ba, kuma babu adadin daidaita asalin gida da zai canza hakan. Idan gefen nesa wata na'ura ce, nata takardun suna bayyana abin da zai karɓa a matsayin asali da ko yana jure wa adireshin peer da aka fassara. Karanta hakan kafin canza filin gida, domin gefen gida ba zai iya yin shawarar ƙa'idar da gefen nesa ba ya aiwatarwa ba.

Mataki na 3: duba abin da mataki na 1 ba ya warwarewa

Wucewar NAT tana ɗaga rami, yarjejeniyar asali tana yanke shawara ko peer zai karɓa, kuma tafiyar da prefij ɗin ciki tana yanke shawara abin da ke wucewa da gaske. Ingantaccen ID na gida ba zai iya samar da hanyar tsayayya da ta ɓace ko mai zaɓen zirga-zirga da ya ɓace ba.

Don haka tabbatar da mataki-mataki. get vpn ipsec tunnel details yana nuna ko ramin yana sama da waɗanne masu zaɓe aka tattauna, kuma rashin daidaituwa tsakanin subnet ɗin nesa da aka tsara da mai zaɓen da aka tattauna matsalar tafiya ce cikin tufafin mataki na 2. execute vpn ike gateway clear yana tilasta sabon tattaunawa, don haka kana gwada tsarin yanzu ba zaman da aka kafa kafin canjin ka na ƙarshe ba. Sannan aika zirga-zirga zuwa mai masauki a cikin prefij ɗin nesa kuma tabbatar da cewa masu ƙidaya suna motsi, domin ramin da yake sama kuma ba ya wucewa komai yana kama da mai aiki har sai ka duba.

Riƙe ƙimomin uku a wuri ɗaya a cikin bayananka: adireshin gida da na'urar ke da shi, wurin ƙarshe na jama'a da na'urar NAT ke gabatarwa, da zaren asalin da peer ke tsammani. Suna canzawa saboda dalilai daban-daban kuma a lokuta daban-daban.

Sake lambar na'urar NAT ba dalili ba ne na taɓa local-gw na FortiGate, kuma canjin asali ba dalili ba ne na sake lambar komai. Haɗa biyun shine yadda ake sake gina rami mai aiki a lokacin taga kulawa mara alaƙa. Jagorar NAT ta Cloud VPN ita ce ma'anar tsarin da ake tallafawa a wancan gefen.

Gwajin da ke warware shi mai gundura ne kuma mai sauri: yi kamawa a hanyar waje, tabbatar UDP 500 da 4500 suna zuwa daga peer, tabbatar asalin da ke cikin musayar IKE ya dace da abin da aka tsara peer ya yi tsammani, sannan tabbatar masu zaɓen da aka tattauna sun rufe subnet ɗin da kuke damu da su. Idan gwajin farko ya kasa, na'urar NAT ce ake zargi. Idan na biyu ya kasa, filayen asali ne. Idan na uku ya kasa, NAT ko asali ba su taɓa zama matsalar ba.