Melyik interfész kapja a NAT belső és külső szerepét egy IOS VPN-kimeneten

A teljes alagutas internetkimenetet biztosító routerek két feladatot látnak el, amelyek egynek látszanak. Lezárják az alagutat, és a visszafejtett klienscsomagot továbbítják az internetre. Csak a második feladatnak kell fordítás, és a fordításnak illeszkednie kell a belső folyamhoz. Ez a megkülönböztetés dönti el, mely interfészek hordozzák a NAT-szerepeket, és mely címtartomány jelenik meg a szabályban.

Kövessen egy csomagot a routeren keresztül

Vegyen egy klienst a(z) 10.90.0.25 címen, amely nyilvános HTTPS-szolgáltatást nyit. Hogy ez a cél egyáltalán bekerül-e az alagútba, a kliens saját házirendjének döntése. Amint bekerül, a router visszafejti a csomagot, és átadja egy virtuális interfésznek, ahonnan a nyilvános felső kapcsolat felé irányítódik.

Ez a virtuális interfész a fordítás belső oldala. A nyilvános felső kapcsolat a külső oldal. Ha a szerepek felcserélődnek vagy hiányoznak, a csomag vagy privát forrással lép ki, vagy a fordítás előtt eldobódik.

Igazítsa a fordítási házirendet a klienspoolhoz

A NAT-szabálynak azt a tartományt kell megneveznie, amelyet a kliensek ténylegesen kapnak, nem az irodai LAN-t, amely véletlenül ugyanazt a felső kapcsolatot használja. A csak a helyi alhálózatot lefedő szabály kihagyja a távoli klienseket akkor is, ha mindkettő ugyanazon az interfészen lép ki.

ip access-list extended NAT-TUNNEL
 permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overload

Tartsa külön a privát oldalak kivételeit. A belső célok felé irányuló forgalomnak meg kell őriznie eredeti forrását, különben a cél olyan címre válaszol, amelyet nem ér el, és a visszaút úgy hiúsul meg, hogy routinghuroknak látszik.

Alkalmazza a szerepeket a telepített tervezés tényleges interfészeire. Egy régi Easy VPN-válaszból másolt Virtual-Template töredék nem teljes, jelenlegi konfiguráció, és az használt alagúttípus dönti el, melyik interfész kapja a visszafejtett csomagot.

Tartsa külön a külső átvitelt és a belső fordítást

Egy visszafejtett alkalmazásforrás lefordítása nem ugyanaz a művelet, mint az IKE- vagy védett csomagok átnyomása egy NAT-eszközön feljebb. Az első megváltoztatja, mit lát az internet a kliens kérése forrásaként; a második életben tart egy alagutat egy köztes eszközön keresztül.

A kettő összekeverése két klasszikus hibát szül. Az a router, amely a saját alagútátvitelét fordítja, elrontja a partnerkapcsolatot, míg az a router, amely soha nem fordítja a belső folyamot, privát címeket továbbít az internetre. Olvassa el, melyik folyamot nézi, mielőtt szerkeszt egy szabályt, és ellenőrizze, hogy az alagút fennmaradt-e a változtatás után. Az a szabály, amely rendbe teszi a böngészést, de leejti az alagutat, elmozdította a problémát ahelyett, hogy megoldotta volna.

Egyik hiba sem javul a másik megváltoztatásától. Olvassa el, melyik folyamot nézi, mielőtt szerkeszt egy szabályt.

Ellenőrizze mindkét határon

Olvassa le az alkalmazás forrását az internet határán, és a helyreállított célt a visszaúton. Az első megmondja, megtörtént-e a fordítás; a második megmondja, visszatért-e a fordított leképezés a megfelelő klienshez.

Ezután teszteljen egy klienst, amely jóváhagyott osztott alagútútvonalat használ. Az a kliens soha nem használja ennek a routernek az internetfordítását, ezért másképp kell viselkednie, és a különbség igazolja, melyik útvonalon ment a forgalom.

Ha mindkét kliens ugyanúgy viselkedik, az osztott alagút házirendje nem azt teszi, amit a tervezés mond. Javítsa ezt, mielőtt további fordítási szabályokat ad hozzá, mert a nem használt útvonalra írt szabály elrejti a valódi problémát.