Antarmuka mana yang mendapat peran NAT dalam dan luar pada keluar VPN IOS
Ikuti paket klien yang didekripsi dari antarmuka virtual hingga tautan uplink. Terjemahan berada pada aliran dalam itu, bukan pada transport luar terowongan.
Router yang menyediakan keluar internet dengan terowongan penuh melakukan dua pekerjaan yang tampak seperti satu. Mereka mengakhiri terowongan dan meneruskan paket klien yang didekripsi ke internet. Hanya pekerjaan kedua yang memerlukan terjemahan, dan terjemahan itu harus cocok dengan aliran dalam. Perbedaan itulah yang menentukan antarmuka mana yang memikul peran NAT dan rentang alamat mana yang muncul dalam aturan.
Ikuti satu paket melewati router
Ambil klien di 10.90.0.25 yang membuka layanan HTTPS publik. Apakah tujuan itu masuk ke terowongan atau tidak adalah keputusan kebijakan klien itu sendiri. Setelah masuk, router mendekripsi paket dan menyerahkannya ke antarmuka virtual, dari sana paket dirutekan ke tautan uplink publik.
Antarmuka virtual itu adalah sisi dalam terjemahan. Tautan uplink publik adalah sisi luar. Jika perannya terbalik atau hilang, paket keluar dengan sumber privat atau dibuang sebelum diterjemahkan.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Sesuaikan kebijakan terjemahan dengan kumpulan klien
Aturan NAT harus menyebut rentang yang benar-benar diterima klien, bukan LAN kantor yang kebetulan berbagi tautan uplink yang sama. Aturan yang hanya mencakup subnet lokal melewatkan klien jarak jauh meskipun keduanya keluar melalui antarmuka yang sama.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadPisahkan pengecualian untuk situs privat. Lalu lintas ke tujuan internal harus mempertahankan sumber aslinya, jika tidak tujuan akan membalas ke alamat yang tidak dapat dijangkau dan jalur balik gagal dengan cara yang tampak seperti loop perutean.
Terapkan peran pada antarmuka sebenarnya dalam desain yang diterapkan. Fragmen Virtual-Template yang disalin dari jawaban Easy VPN lama bukan konfigurasi terkini yang lengkap, dan jenis terowongan yang dipakai menentukan antarmuka mana yang menerima paket terdekripsi.
Pisahkan transport luar dan terjemahan dalam
Menerjemahkan sumber aplikasi yang didekripsi bukan operasi yang sama dengan mendorong paket IKE atau paket terlindungi melalui perangkat NAT di hulu. Yang pertama mengubah apa yang dilihat internet sebagai sumber permintaan klien; yang kedua menjaga terowongan tetap hidup melewati kotak perantara.
Mencampur keduanya menghasilkan dua kegagalan klasik. Router yang menerjemahkan transport terowongannya sendiri merusak hubungan peer, sedangkan router yang tidak pernah menerjemahkan aliran dalam meneruskan alamat privat ke internet. Baca aliran mana yang Anda lihat sebelum menyunting aturan, dan periksa apakah terowongan tetap naik setelah perubahan. Aturan yang memperbaiki penjelajahan tetapi menjatuhkan terowongan telah memindahkan masalah, bukan menyelesaikannya.
Tak satu pun dari kedua kegagalan itu diperbaiki dengan mengubah yang lain. Baca aliran mana yang Anda lihat sebelum menyunting aturan.
Verifikasi di kedua batas
Baca sumber aplikasi di batas internet, dan tujuan yang dipulihkan pada jalur balik. Yang pertama memberi tahu apakah terjemahan terjadi; yang kedua memberi tahu apakah pemetaan balik kembali ke klien yang benar.
Lalu uji klien yang memakai jalur terowongan terpisah yang disetujui. Klien itu tidak pernah menjalankan terjemahan internet router ini, jadi perilakunya harus berbeda, dan perbedaan itu memastikan jalur mana yang diambil lalu lintas.
Jika kedua klien berperilaku sama, kebijakan terowongan terpisah tidak melakukan apa yang dikatakan desain. Perbaiki itu sebelum menambah aturan terjemahan, karena aturan yang ditulis untuk jalur yang tidak dipakai menyembunyikan masalah sebenarnya.