FortiGate bakvið NAT: local-gw, localid og opinbera IP-ið

FortiGate bakvið NAT getur átt 10.0.0.2 á WAN-tenginu sínu á meðan internetið sýnir það sem 198.51.100.40, og báðar tölurnar eru raunverulegar. Vistfangið sem tækið bindur sig við og auðkennið sem það sendir við IKE-sannvottun eru aðskildar ákvarðanir, teknar í aðskildum sviðum, fyrir aðskilinn áheyrendur. NAT endurskrifar ytri vistfangsgerð á leiðinni; það endurskrifar ekki sannvottað auðkenni í það sem fjarlægi peer væntir. Flest mistök í fasa 1 í þessari mynd koma af því að setja rétta gildið í rangt svið.

Þrjú gildi, þrír eigendur

Byrjaðu á að nefna þrjú gildi og hver á hvert. local-gw er vistfangið sem FortiGate notar sem uppsprettu fyrir IKE á ytri tenginu og verður að vera vistfang sem tækið hefur í raun. Opinberi endapunkturinn er vistfang NAT-tækisins og tilheyrir þeim sem framkvæmir þýðinguna. IKE-auðkenni er strengur sem peer ber saman við eigin stillingar, og það þarf alls ekki að vera IP-vistfang.

Sviðsheitin eru nógu lík til að bjóða upp á skipti, og það er gildran. localid og localid-type lýsa auðkenningu; local-gw lýsir staðbundinni bindingu.

Dæmi gerir greinarmuninn áþreifanlegan. Á FortiGate skaltu opna config vpn ipsec phase1-interface, síðan set interface "wan1" og set local-gw 10.0.0.2 — vistfang sem kassinn hefur, og það er það sem lætur IKE-sokket bindast með góðum árangri. Skildu local-gw eftir á 0.0.0.0 og vistfang tengisins er notað, sem er venjulega sami hluturinn en minna skýrt. Stilltu local-gw ekki á 198.51.100.40, því tækið hefur ekki þetta vistfang og sokketið mun ekki bindast því. Að láta tvö gildi líta jöfn út á pappír er ekki stilling.

Skref 1: veldu auðkennið sem peer mun samþykkja

Nú auðkennið, sem er önnur ákvörðun. set localid tekur gildið sem peer mun bera saman, og set localid-type segir FortiGate hvernig túlka á það: vistfang, FQDN, notandafqdn eða lykla-ID. Með auto leiðir tækið það út, venjulega frá vistfangi útgangstengisins, sem er nákvæmlega gildið sem NAT-tæki er að fara að breyta.

Þessi úttekt er ástæðan fyrir því að skýrt auðkenni skiptir máli í þessari topologíu. Ef peer væntir vistfangsauðkennis skaltu stilla localid-type address og localid á opinbera vistfangið sem peer mun sjá, og staðfesta síðan að peer samþykki þetta gildi sem auðkenni en ekki sem leiðarviðmið. Ef peer væntir FQDN skaltu nota localid-type fqdn og nafnið sem það var stillt með. Staðfestu hvað var í raun sent með diagnose vpn ike gateway list, sem sýnir stöðu gáttarinnar og þau auðkenni sem eru í notkun, ekki það sem þú ætlaðir að slá inn. Ekki gera ráð fyrir að valkostur um auðkennistegund samþykki handahófskennt ekki-staðbundið vistfang; athugaðu fyrst skjalfesta merkingu útgáfunnar.

Skref 2: framseldu UDP 500 og 4500 til tækisins

Þriðja gildið tilheyrir NAT-tækinu, og það er það sem fólk gleymir að athuga. Opinberi endapunkturinn verður að framselja UDP 500 og UDP 4500 til FortiGate, því NAT-T-skynjun og hið innpakkaða ESP sem fylgir eru bæði háð því að þessar hafnir berist. Þessi hönnun gerir ráð fyrir einn-á-einn vörpun; að deila einu opinberu vistfangi eftir höfnum milli nokkurra peer-a er önnur topología með öðrum mörkum.

Staðfestu framsendinguna með upptöku frekar en von: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 sýnir hvort pakkar berist og hvort svör fari út.

Google Cloud VPN skjalfestir einn-á-einn NAT með NAT-T sem studda fyrirkomulagið fyrir peer bakvið NAT, og það er takmörkunin sem hanna verður gegn ef fjarlægi endinn er Cloud VPN-gátt. Deiling einn-á-marga eða eftir höfnum er ekki sama studda topología, og engin staðbundin auðkennisstilling breytir því. Ef fjarlæga hliðin er annað tæki skilgreinir eigin skjöl þess hvað það mun samþykkja sem auðkenni og hvort það þoli þýtt peer-vistfang. Lestu það áður en þú breytir staðbundnu sviði, því staðbundna hliðin getur ekki samið um reglu sem fjarlæga hliðin innleiðir ekki.

Skref 3: athugaðu hvað fasi 1 leysir ekki

NAT-ganga fær tunnuna upp, auðkennissamkomulag ræður því hvort peer samþykkir hana, og leiðsögn innra forskeytis ræður því hvað fer í raun yfir. Rétt staðbundið ID getur ekki veitt vantaða kyrrstæða leið eða vantaðan umferðarval.

Staðfestu því í lögum. get vpn ipsec tunnel details sýnir hvort tunna er uppi og hvaða völum var samið um, og misræmi milli stillta fjarlæga undirnetsins og samningsbundna valsins er leiðsagnarvandamál í fasa 2-búningi. execute vpn ike gateway clear þvingar endursamning, svo þú ert að prófa núverandi stillingu en ekki setu sem var komið á fyrir síðustu breytingu þína. Sendu síðan umferð til hýsis í fjarlæga forskeytinu og staðfestu að teljararnir hreyfist, því tunna sem er uppi og hleypir engu í gegn lítur nákvæmlega eins út og virk þar til þú athugar.

Haltu þremur gildunum á einum stað í minnispunktum þínum: staðbundna vistfanginu sem tækið hefur, opinbera endapunktinum sem NAT-tækið sýnir og auðkennisstrengnum sem peer væntir. Þau breytast af mismunandi ástæðum og á mismunandi tímum.

Endurnúmerun NAT-tækis er ekki ástæða til að snerta local-gw FortiGate, og auðkennisbreyting er ekki ástæða til að endurnúmera neitt. Að blanda þessu tvennu er hvernig virk tunna er endurbyggð á meðan á ótengdum viðhaldsglugga stendur. NAT-leiðbeiningar Cloud VPN eru viðmiðunin fyrir studdu topologíuna á þeirri hlið.

Prófið sem ræður úrslitum er leiðinlegt og hratt: taktu upp á ytri tenginu, staðfestu að UDP 500 og 4500 berist frá peer, staðfestu að auðkennið í IKE-skiptunum passi við það sem peer var stillt til að vænta, staðfestu síðan að samningsbundnu völarnir nái yfir undirnetin sem þér þykir vænt um. Ef fyrsta athugunin mistekst er NAT-tækið grunnaðili. Ef sú önnur mistekst eru það auðkennissviðin. Ef sú þriðja mistekst var hvorki NAT né auðkenni nokkurn tíma vandamálið.