איזה ממשק מקבל את תפקיד ה-NAT מבפנים ומבחוץ ביציאת VPN של IOS
עקבו אחר חבילת הלקוח המפוענחת מהממשק הווירטואלי אל הקישור העליון. התרגום שייך לזרימה הפנימית הזו, לא לתעבורה החיצונית של המנהרה.
נתבים המספקים יציאת אינטרנט במנהרה מלאה מבצעים שתי משימות שנראות כאחת. הם מסיימים את המנהרה ומעבירים את חבילת הלקוח המפוענחת אל האינטרנט. רק המשימה השנייה זקוקה לתרגום, והתרגום חייב להתאים לזרימה הפנימית. ההבחנה הזו קובעת אילו ממשקים נושאים את תפקידי ה-NAT ואיזה טווח כתובות מופיע בכלל.
עקבו אחר חבילה אחת דרך הנתב
קחו לקוח בכתובת 10.90.0.25 שפותח שירות HTTPS ציבורי. אם היעד הזה נכנס למנהרה בכלל הוא החלטה של המדיניות של הלקוח עצמו. לאחר שהוא נכנס, הנתב מפענח את החבילה ומוסר אותה לממשק וירטואלי, ומשם היא מנותבת אל הקישור העליון הציבורי.
הממשק הווירטואלי הזה הוא הצד הפנימי של התרגום. הקישור העליון הציבורי הוא הצד החיצוני. אם התפקידים מתהפכים או חסרים, החבילה יוצאת עם מקור פרטי או נזרקת לפני שתתורגם.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
התאימו את מדיניות התרגום למאגר הלקוחות
כלל ה-NAT חייב לנקוב בטווח שהלקוחות מקבלים בפועל, לא ב-LAN של המשרד שבמקרה חולק את אותו קישור עליון. כלל שמכסה רק את תת-הרשת המקומית מפספס לקוחות מרוחקים גם כששניהם יוצאים דרך אותו ממשק.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadהחזיקו בנפרד את החריגים לאתרים פרטיים. תעבורה ליעדים פנימיים חייבת לשמור על המקור המקורי שלה, אחרת היעד יענה לכתובת שאינו יכול להגיע אליה ומסלול החזרה ייכשל באופן שנראה כלולאת ניתוב.
החילו את התפקידים על הממשקים בפועל בתכנון הפרוס. שבר Virtual-Template שהועתק מתשובת Easy VPN ישנה אינו תצורה מלאה ועדכנית, וסוג המנהרה שבשימוש קובע איזה ממשק יקבל את החבילה המפוענחת.
הפרידו בין התעבורה החיצונית לתרגום הפנימי
תרגום מקור יישום מפוענח אינו אותה פעולה כמו דחיפת חבילות IKE או חבילות מוגנות דרך התקן NAT במעלה הזרם. הראשון משנה מה האינטרנט רואה כמקור הבקשה של הלקוח; השני משאיר מנהרה חיה דרך תיבת ביניים.
ערבוב בין השניים מייצר שני כשלים קלאסיים. נתב שמתרגם את תעבורת המנהרה של עצמו שובר את יחסי העמית, ואילו נתב שלעולם אינו מתרגם את הזרימה הפנימית מעביר כתובות פרטיות אל האינטרנט. קראו איזו זרימה אתם רואים לפני עריכת כלל, ובדקו אם המנהרה נשארה למעלה לאחר השינוי. כלל שמתקן גלישה אך מפיל את המנהרה העביר את הבעיה במקום לפתור אותה.
אף אחד משני הכשלים לא מתוקן על ידי שינוי השני. קראו איזו זרימה אתם רואים לפני עריכת כלל.
אמתו בשני הגבולות
קראו את מקור היישום בגבול האינטרנט, ואת היעד המשוחזר במסלול החזרה. הראשון אומר אם התרגום התרחש; השני אומר אם המיפוי ההפוך חזר ללקוח הנכון.
לאחר מכן בחנו לקוח שמשתמש בנתיב מנהרה מפוצלת מאושר. הלקוח הזה לעולם אינו מפעיל את תרגום האינטרנט של הנתב הזה, ולכן אמור להתנהג אחרת, וההבדל מאשר באיזה נתיב עברה התעבורה.
אם שני הלקוחות מתנהגים אותו דבר, מדיניות המנהרה המפוצלת אינה עושה את מה שהתכנון אומר. תקנו זאת לפני שתוסיפו כללי תרגום נוספים, כי כלל שנכתב לנתיב שאינו בשימוש מסתיר את הבעיה האמיתית.