Hvaða tengi fær NAT-innra og NAT-ytra hlutverkið á IOS VPN-útgangi
Fylgdu afkóðuðu biðlarapakki frá sýndartenginu að uppstreymis-tenginu. Þýðingin tilheyrir þessu innra flæði, ekki ytri flutningi göngunnar.
Beinar sem bjóða internetútgang með fullri göngu sinna tveimur verkum sem líta út eins og einu. Þær ljúka göngunni og senda afkóðaða biðlarapakkann út á internetið. Aðeins seinna verkið þarf þýðingu, og þýðingin verður að passa við innra flæðið. Þessi greinarmunur ræður því hvaða tengi bera NAT-hlutverkin og hvaða netfangsbil birtist í reglunni.
Fylgdu einu pakki í gegnum beininn
Taktu biðlara á 10.90.0.25 sem opnar opinbera HTTPS-þjónustu. Hvort þessi áfangastaður fer yfirhöfuð inn í gönguna er ákvörðun stefnu biðlarans sjálfs. Þegar hann fer inn afkóðar beininn pakkann og afhendir sýndartengi, þaðan sem honum er beint að opinbera uppstreymis-tenginu.
Þetta sýndartengi er innri hlið þýðingarinnar. Opinbera uppstreymis-tengið er ytri hliðin. Ef hlutverkin snúast við eða vantar fer pakkinn annaðhvort út með einkaaðgangi eða er hent áður en hann er þýddur.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Lagaðu þýðingarstefnuna að biðlarahópnum
NAT-reglan verður að nefna bilið sem biðlararnir fá í raun, ekki skrifstofunetið sem á til að deila sama uppstreymis-tenginu. Regla sem nær aðeins yfir staðbundið undirnet missir biðlara í fjarlægð, jafnvel þótt báðir fari út um sama tengið.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadHaltu undantekningum fyrir einkasíður aðskildum. Umferð að innri áfangastöðum verður að varðveita upprunalega uppsprettu, annars svarar áfangastaðurinn netfangi sem ekki er hægt að ná í og endurkoman mistekst á þann hátt að út lítur eins og beiningarlykkja.
Beittu hlutverkunum á raunverulegu tengin í uppsettu hönnuninni. Virtual-Template-brot afritað úr gamalt Easy VPN-svari er ekki full núverandi uppsetning, og göngutegundin sem notuð er ræður því hvaða tengi tekur við afkóðaða pakkanum.
Haltu ytri flutningi og innri þýðingu aðskildum
Að þýða afkóðaða forritsuppsprettu er ekki sama aðgerð og að þrýsta IKE- eða vörðum pökkum gegnum NAT-tæki ofar. Fyrra breytir því sem internetið sér sem uppsprettu beiðni biðlarans; seinna heldur göngu lifandi gegnum millistykki.
Að rugla þeim saman gefur tvö klassísk mistök. Beinn sem þýðir eigin gönguflutning brýtur jafningjasambandið, en beinn sem þýðir aldrei innra flæðið sendir einkanetföng út á internetið. Lestu hvaða flæði þú ert að skoða áður en þú breytir reglu, og athugaðu hvort gangan stóð eftir breytinguna. Regla sem lagar vafrið en fellir gönguna hefur flutt vandamálið í stað þess að leysa það.
Hvorug mistökin eru löguð með því að breyta hinu. Lestu hvaða flæði þú ert að skoða áður en þú breytir reglu.
Sannreynið á báðum landamærum
Lestu forritsuppsprettuna á internetlandamærunum, og endurheimta áfangastaðinn á endurkomunni. Fyrra segir hvort þýðingin átti sér stað; seinna segir hvort öfuga vörpunin kom til baka til rétta biðlarans.
Prófaðu svo biðlara sem notar samþykkta slóð skiptrar göngu. Sá biðlari notar aldrei internetþýðingu þessarar beinar, svo hann ætti að haga sér öðruvísi, og munurinn staðfestir hvaða slóð umferðin fór.
Ef báðir biðlarar haga sér eins, gerir stefna skiptrar göngu ekki það sem hönnunin segir. Lagaðu það áður en þú bætir við fleiri þýðingarreglum, því regla skrifuð fyrir slóð sem er ekki notuð felur raunverulega vandamálið.