Azure stað-til-staðar VPN með jafningja bak við NAT: gátlisti

Farðu í gegnum þessar athuganir í röð og stöðvaðu við þá fyrstu sem mistekst. Flestar tilkynningar um að Azure styðji ekki tæki bak við NAT reynast vera vistfang jafningsins sem Azure nær ekki til, eða göng sem byrja aldrei frá réttri hlið. Ytri flutningurinn og innri leiðbeiningin eru tvö mismunandi vandamál, og að blanda þeim eyðir hádegi. Hvert skref hér að neðan gefur athugun sem þú getur afhent einhverjum öðrum.

Skref 1: staðfestu að jafninginn sé yfirhöfuð bak við NAT

Berðu saman vistfangið á WAN-tengi tækisins og því vistfangi sem Azure sér fyrir það. Ef þau eru mismunandi er eitthvað að þýða, og sá þýðandi er nú hluti af VPN-hönnuninni þinni. Spurðu þjónustuveitandann hvort vörpunin sé stöðug eða deild, því deild vörpun breytir því sem þú getur reitt þig á. Tæki með einka WAN-vistfang og enga framsendingu er annað tilvik en tæki bak við NAT á rekstrarstigi með stöðuga opinbera vörpun.

Ef vistfangin tvö stemma, stöðvaðu hér: NAT er ekki þitt vandamál og afgangur þessa lista hjálpar ekki.

Skráðu bæði vistfangin og gerð þýðandans í miðann. Þessi eina lína kemur í veg fyrir næstu spurningakomu um hvers vegna stillti jafninginn svarar ekki.

Skref 2: komið ykkur saman um hver byrjar

Algengar spurningar um Azure VPN Gateway nefna stuðning við NAT-T og bæta við að staðbundið tæki eigi að byrja IPsec-göngin þegar það er bak við NAT. Það passar við hvernig þýðing með stöðu virkar, þar sem þýðandinn heldur vörpun vegna þess að innra tækið sendi fyrstu pakkann. Ef búist er við að Azure byrji og ekkert kemur til að búa til þá vörpun byrja göngin aldrei.

Stilltu jafninginn þannig að mistök af gerðinni aðeins-svarandi séu augljós, og athugaðu hvort tækið reynir aftur sjálft eða þarf kveikju. Sum tæki reisa göng aðeins þegar áhugaverð umferð birtist, sem er í lagi þar til áhugaverða umferðin er heilsupróf sem kemur aldrei.

Fylgstu með IKE-skiptunum á tækinu við handvirka ræsingu; þögn þar er svar frá leiðbeiningu eða eldvegg, ekki svar frá Azure.

Skref 3: hafðu vistfang jafningsins rétt

Azure þarf aðgengilegt opinbert vistfang fyrir jafninginn í hlutnum fyrir staðbundið netgátt, venjulega opinbert vistfang þýðandans frekar en innra vistfang tækisins. Auðkennið sem tækið auðkennir sig með er sérstakur reitur og getur löglega verið frábrugðið vistfanginu sem Azure hringir í. Haltu þeim tveimur aðskildum, því að skipta á þeim framleiðir auðkenningarbilun sem lítur nákvæmlega út eins og NAT-vandamál.

Ef opinbera vistfangið breytist verður sá hlutur að breytast með því. Nafn sem leysist í úrelt vistfang er verra en stöðugt vistfang sem þú verður að uppfæra handvirkt.

Skrifaðu niður öll þrjú gildin: staðbundið vistfang tækisins, þýdda opinbera vistfangið og stillta auðkenni jafningsins.

Skref 4: opnaðu aðeins þær gáttir sem NAT-T þarf

NAT-T flytur ESP inni í UDP, og RFC 3948 lýsir þeirri umslöppun með gátt 4500 sem notuð er eftir fyrstu samningaviðræðurnar á gátt 500. Eldveggurinn þinn og þýðandinn verða báðir að leyfa skiptin og svarumferðina. Að leyfa ótengda TCP-gátt sannar ekkert um þessa leið, og regla sem leyfir útferð en ekki svarið mistekst samt.

Stöðug framsending á innkomandi gátt er ekki sjálfkrafa nauðsynleg þegar jafninginn byrjar og þýðandinn heldur stöðu. Hún verður nauðsynleg þegar vörpunin er óstöðug eða þegar eitthvað á leiðinni lætur stöðuna renna út árásargjarnan hátt.

Taktu upp einu sinni á báðum hliðum þýðandans; munurinn á umslöppun sést strax.

Skref 5: aðskildu ytri flutning frá innri leiðbeiningu

Göng sem koma á fót og flytja ekkert eru leiðbeiningarvandamál, ekki NAT-T-vandamál. Staðirnir þurfa enn samhæfða umferðarvala, samsvarandi vistfangarými, aðgangsreglur og afturleið fyrir forritanetin. Ekkert af þessu fæst með árangursríkum IKE-skiptum.

Ef staðirnir tveir nota skarast einkasvið er þýðing inni í göngunum sérstök hönnun með eigin reglum. Endurnúmeraðu ekki undirnet bara af því að ytri gáttin er fyrir tilviljun bak við heimanetstengi.

Flokkaðu bilunina eftir stigi áður en þú breytir einhverju, og hafðu þá flokkun í miðanum svo næsta manneskja byrji þar sem þú stöðvaðir.