Koje sučelje dobiva NAT ulogu iznutra i izvana na IOS VPN izlazu
Pratite dešifriran klijentski paket od virtualnog sučelja do uzlazne veze. Prijevod pripada tom unutarnjem toku, a ne vanjskom prijevozu tunela.
Usmjerivači koji pružaju internetski izlaz kroz pun tunel obavljaju dva posla koja izgledaju kao jedan. Oni završavaju tunel i prosljeđuju dešifrirani klijentski paket na internet. Samo drugi posao treba prijevod, i prijevod mora odgovarati unutarnjem toku. Ta razlika odlučuje koja sučelja nose NAT uloge i koji se raspon adresa pojavljuje u pravilu.
Pratite jedan paket kroz usmjerivač
Uzmite klijenta na 10.90.0.25 koji otvara javnu HTTPS uslugu. Ulazi li to odredište uopće u tunel, odluka je politike samog klijenta. Kad uđe, usmjerivač dešifrira paket i predaje ga virtualnom sučelju, odakle se usmjerava prema javnoj uzlaznoj vezi.
To virtualno sučelje unutarnja je strana prijevoda. Javna uzlazna veza vanjska je strana. Ako su uloge obrnute ili nedostaju, paket ili izlazi s privatnim izvorom ili se odbacuje prije nego što bude preveden.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Uskladite politiku prijevoda sa skupinom klijenata
NAT pravilo mora imenovati raspon koji klijenti stvarno dobivaju, a ne uredski LAN koji slučajno dijeli istu uzlaznu vezu. Pravilo koje pokriva samo lokalnu podmrežu promašuje udaljene klijente čak i kad oba izlaze kroz isto sučelje.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadDržite iznimke za privatna mjesta odvojeno. Promet prema unutarnjim odredištima mora zadržati svoj izvorni izvor, inače će odredište odgovoriti na adresu do koje ne može stići i povratni će krak pasti na način koji izgleda kao petlja usmjeravanja.
Primijenite uloge na stvarna sučelja u raspoređenom dizajnu. Ulomak Virtual-Template kopiran iz starog Easy VPN odgovora nije potpuna trenutačna konfiguracija, a vrsta tunela koja se koristi određuje koje sučelje prima dešifrirani paket.
Držite vanjski prijevoz i unutarnji prijevod odvojeno
Prevođenje dešifriranog izvora aplikacije nije ista operacija kao propuštanje IKE ili zaštićenih paketa kroz NAT uređaj uzvodno. Prvo mijenja ono što internet vidi kao izvor klijentskog zahtjeva; drugo održava tunel živim kroz posredni uređaj.
Miješanje toga dvoje daje dva klasična kvara. Usmjerivač koji prevodi vlastiti prijevoz tunela kvari odnos s partnerom, dok usmjerivač koji nikad ne prevodi unutarnji tok prosljeđuje privatne adrese na internet. Pročitajte koji tok gledate prije nego što uredite pravilo, i provjerite je li tunel ostao podignut nakon promjene. Pravilo koje popravi pregledavanje, ali sruši tunel, premjestilo je problem umjesto da ga riješi.
Nijedan od tih kvarova ne otklanja se promjenom onoga drugoga. Pročitajte koji tok gledate prije nego što uredite pravilo.
Provjerite na obje granice
Pročitajte izvor aplikacije na granici s internetom, a vraćeno odredište na povratnom kraku. Prvo govori je li se prijevod dogodio; drugo govori je li se obrnuto mapiranje vratilo pravom klijentu.
Zatim testirajte klijenta koji koristi odobrenu stazu podijeljenog tunela. Taj klijent nikad ne pokreće internetski prijevod ovog usmjerivača, pa bi se trebao ponašati drukčije, a razlika potvrđuje kojom je stazom promet išao.
Ako se oba klijenta ponašaju jednako, politika podijeljenog tunela ne radi ono što dizajn kaže. Popravite to prije nego što dodate još pravila prijevoda, jer pravilo napisano za stazu koja se ne koristi skriva pravi problem.