Որ ինտերֆեյսն է ստանում NAT-ի ներքին ու արտաքին դերը IOS VPN ելքում
Հետևե՛ք ապակոդավորված հաճախորդի փաթեթին՝ վիրտուալ ինտերֆեյսից մինչև վերին կապուղի։ Թարգմանությունը պատկանում է այդ ներքին հոսքին, ոչ թե թունելի արտաքին տրանսպորտին։
Լրիվ թունելով ինտերնետ ելք տրամադրող երթուղիչները կատարում են երկու աշխատանք, որոնք մեկի տեսք ունեն։ Նրանք ավարտում են թունելը և ապակոդավորված հաճախորդի փաթեթն ուղարկում ինտերնետ։ Միայն երկրորդ աշխատանքն է թարգմանություն պահանջում, և թարգմանությունը պետք է համապատասխանի ներքին հոսքին։ Այդ տարբերությունն է որոշում, թե որ ինտերֆեյսներն են կրում NAT-ի դերերը և որ հասցեների միջակայքն է հայտնվում կանոնում։
Հետևե՛ք մեկ փաթեթին երթուղիչով
Վերցրե՛ք հաճախորդ 10.90.0.25 հասցեով, որը բացում է հանրային HTTPS ծառայություն։ Թե այդ նպատակակետն ընդհանրապես մտնում է թունել, թե ոչ, հաճախորդի սեփական քաղաքականության որոշումն է։ Երբ մտնում է, երթուղիչն ապակոդավորում է փաթեթը և հանձնում վիրտուալ ինտերֆեյսին, որտեղից այն երթուղվում է դեպի հանրային վերին կապուղի։
Այդ վիրտուալ ինտերֆեյսը թարգմանության ներսի կողմն է։ Հանրային վերին կապուղին դրսի կողմն է։ Եթե դերերը շրջված են կամ բացակայում են, փաթեթը կա՛մ դուրս է գալիս մասնավոր աղբյուրով, կա՛մ դեն է նետվում մինչև թարգմանվելը։
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Համապատասխանեցրե՛ք թարգմանության քաղաքականությունը հաճախորդների լողավազանին
NAT-ի կանոնը պետք է նշի այն միջակայքը, որը հաճախորդները փաստացի ստանում են, ոչ թե գրասենյակի LAN-ը, որն ի դեպ կիսում է նույն վերին կապուղին։ Միայն տեղական ենթացանցը ծածկող կանոնը բաց է թողնում հեռավոր հաճախորդներին, նույնիսկ երբ երկուսն էլ դուրս են գալիս նույն ինտերֆեյսով։
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadԱռանձին պահե՛ք մասնավոր կայքերի բացառությունները։ Ներքին նպատակակետերի երթևեկությունը պետք է պահպանի իր սկզբնական աղբյուրը, հակառակ դեպքում նպատակակետը կպատասխանի հասցեի, որին չի կարող հասնել, և վերադարձի ուղին կձախողվի այնպես, որ նման կլինի երթուղավորման օղակի։
Կիրառե՛ք դերերը տեղակայված նախագծի իրական ինտերֆեյսների վրա։ Հին Easy VPN պատասխանից պատճենված Virtual-Template հատվածը ամբողջական ընթացիկ կոնֆիգուրացիա չէ, և օգտագործվող թունելի տեսակն է որոշում, թե որ ինտերֆեյսը կստանա ապակոդավորված փաթեթը։
Առանձնացրե՛ք արտաքին տրանսպորտը և ներքին թարգմանությունը
Ապակոդավորված հավելվածի աղբյուրը թարգմանելը նույն գործողությունը չէ, ինչ IKE կամ պաշտպանված փաթեթները վերևում NAT սարքի միջով անցկացնելը։ Առաջինը փոխում է այն, ինչ ինտերնետը տեսնում է որպես հաճախորդի հարցման աղբյուր, երկրորդը թունելը կենդանի է պահում միջանկյալ տուփի միջով։
Դրանք շփոթելը տալիս է երկու դասական ձախողում։ Երթուղիչը, որը թարգմանում է իր իսկ թունելի տրանսպորտը, կոտրում է գործընկերոջ հետ հարաբերությունը, մինչդեռ երթուղիչը, որը երբեք չի թարգմանում ներքին հոսքը, մասնավոր հասցեներ է ուղարկում ինտերնետ։ Կարդացե՛ք, թե որ հոսքին եք նայում, նախքան կանոնը խմբագրելը, և ստուգե՛ք՝ արդյոք թունելը մնացել է բարձրացված փոփոխությունից հետո։ Կանոնը, որը շտկում է զննարկումը, բայց գցում է թունելը, տեղափոխել է խնդիրը, ոչ թե լուծել։
Ձախողումներից ոչ մեկը չի շտկվում մյուսը փոխելով։ Կարդացե՛ք, թե որ հոսքին եք նայում, նախքան կանոնը խմբագրելը։
Ստուգե՛ք երկու սահմաններում
Կարդացե՛ք հավելվածի աղբյուրը ինտերնետի սահմանին, և վերականգնված նպատակակետը վերադարձի ուղու վրա։ Առաջինը ասում է՝ թարգմանությունը եղե՞լ է, երկրորդը՝ հակադարձ քարտեզագրումը վերադարձե՞լ է ճիշտ հաճախորդին։
Ապա փորձարկե՛ք հաճախորդ, որն օգտագործում է հաստատված բաժանված թունելի ուղի։ Այդ հաճախորդը երբեք չի օգտագործում այս երթուղիչի ինտերնետ թարգմանությունը, ուստի պետք է այլ կերպ վարվի, և տարբերությունը հաստատում է, թե որ ուղով է գնացել երթևեկությունը։
Եթե երկու հաճախորդներն էլ նույն կերպ են վարվում, բաժանված թունելի քաղաքականությունը չի անում այն, ինչ ասում է նախագիծը։ Ուղղե՛ք դա նախքան նոր թարգմանության կանոններ ավելացնելը, որովհետև չօգտագործվող ուղու համար գրված կանոնը թաքցնում է իրական խնդիրը։