Azure საიტიდან საიტზე VPN NAT-ის უკან მდგომი პირთან: შემოწმების სია

შეასრულეთ ეს შემოწმებები თანმიმდევრობით და გაჩერდით პირველზე, რომელიც ვერ გაივლის. მოხსენებების უმეტესობა იმის შესახებ, რომ Azure არ უჭერს მხარს NAT-ის უკან მდგომ მოწყობილობას, სინამდვილეში არის პირის მისამართი, რომელსაც Azure ვერ აღწევს, ან გვირაბი, რომელიც არასოდეს იწყება სწორი მხრიდან. გარე ტრანსპორტი და შიდა მარშრუტიზაცია ორი სხვადასხვა პრობლემაა და მათი შერევა ნახევარ დღეს კარგავს. ქვემოთ ყოველი ნაბიჯი იძლევა დაკვირვებას, რომელიც სხვას შეგიძლიათ გადასცეთ.

ნაბიჯი 1: დაადასტურეთ, რომ პირი საერთოდ NAT-ის უკანაა

შეადარეთ მოწყობილობის WAN ინტერფეისის მისამართი იმ მისამართს, რომელსაც Azure მისთვის ხედავს. თუ ისინი განსხვავდება, რაღაც თარგმნის და ის მთარგმნელი ახლა თქვენი VPN დიზაინის ნაწილია. ჰკითხეთ პროვაიდერს, არის თუ არა დაშვება სტატიკური ან საერთო, რადგან საერთო დაშვება ცვლის იმას, რასაც დაეყრდნობით. მოწყობილობა კერძო WAN მისამართით და გადამისამართების გარეშე სხვა შემთხვევაა, ვიდრე ოპერატორის დონის NAT-ის უკან მდგომი მოწყობილობა სტაბილური საჯარო დაშვებით.

თუ ორი მისამართი ემთხვევა, აქ გაჩერდით: NAT თქვენი პრობლემა არ არის და ამ სიის დარჩენილი ნაწილი არ დაგეხმარებათ.

ჩაწერეთ ორივე მისამართი და მთარგმნელის მოდელი ბილეთში. ეს ერთი ხაზი ხელს უშლის შემდეგ კითხვების რაუნდს იმაზე, თუ რატომ არ პასუხობს კონფიგურირებული პირი.

ნაბიჯი 2: შეთანხმდით, ვინ იწყებს

Azure VPN Gateway-ის კითხვა-პასუხი აღნიშნავს NAT-T მხარდაჭერას და ამატებს, რომ ლოკალურმა მოწყობილობამ უნდა დაიწყოს IPsec გვირაბი, როცა ის NAT-ის უკანაა. ეს ემთხვევა იმას, თუ როგორ მუშაობს მდგომარეობიანი თარგმანი, რადგან მთარგმნელი ინახავს დაშვებას იმიტომ, რომ შიდა მოწყობილობამ გაგზავნა პირველი პაკეტი. თუ მოსალოდნელია, რომ Azure დაიწყებს და არაფერი მოდის ამ დაშვების შესაქმნელად, გვირაბი არასოდეს იწყება.

დააკონფიგურირეთ პირი ისე, რომ მხოლოდ-პასუხის შეცდომა თვალსაჩინო იყოს და შეამოწმეთ, დამოუკიდებლად ცდილობს მოწყობილობა ხელახლა თუ გამომწვევი სჭირდება. ზოგი მოწყობილობა გვირაბს მხოლოდ მაშინ აღმართავს, როცა საინტერესო ტრაფიკი გამოჩნდება, რაც კარგია მანამ, სანამ საინტერესო ტრაფიკი ჯანმრთელობის შემოწმება აღმოჩნდება, რომელიც არასოდეს მოდის.

დააკვირდით IKE გაცვლას მოწყობილობაზე ხელით გაშვების დროს; იქ სიჩუმე მარშრუტიზაციის ან ფაირვოლის პასუხია და არა Azure-ის პასუხი.

ნაბიჯი 3: სწორად დააყენეთ პირის მისამართი

Azure-ს სჭირდება მისაწვდომი საჯარო მისამართი პირისთვის ლოკალური ქსელის კარიბჭის ობიექტში, ჩვეულებრივ მთარგმნელის საჯარო მისამართი და არა მოწყობილობის შიდა მისამართი. იდენტობა, რომლითაც მოწყობილობა ავთენტიფიცირდება, ცალკე ველია და კანონიერად შეიძლება განსხვავდებოდეს იმ მისამართისგან, რომელზეც Azure დარეკავს. ორივე განცალკევებით შეინახეთ, რადგან მათი შეცვლა ქმნის ავთენტიფიკაციის ჩავარდნას, რომელიც ზუსტად NAT-ის პრობლემას ჰგავს.

თუ საჯარო მისამართი იცვლება, ეს ობიექტიც უნდა შეიცვალოს. სახელი, რომელიც მოძველებულ მისამართზე იხსნება, უარესია, ვიდრე სტატიკური მისამართი, რომლის ხელით განახლებაც მოგიწევთ.

ჩაწერეთ სამივე მნიშვნელობა: მოწყობილობის ლოკალური მისამართი, თარგმნილი საჯარო მისამართი, კონფიგურირებული პირის იდენტობა.

ნაბიჯი 4: გახსენით მხოლოდ ის პორტები, რომლებიც NAT-T-ს სჭირდება

NAT-T ESP-ს UDP-ის შიგნით გადააქვს და RFC 3948 აღწერს ამ შეფუთვას 4500 პორტით, რომელიც 500 პორტზე საწყისი მოლაპარაკების შემდეგ გამოიყენება. თქვენი ფაირვოლი და მთარგმნელი ორივემ უნდა დაუშვას გაცვლა და მისი დაბრუნების ტრაფიკი. დაუკავშირებელი TCP პორტის დაშვება ამ გზაზე არაფერს ამტკიცებს და წესი, რომელიც გასვლას უშვებს, მაგრამ პასუხს არა, მაინც ჩავარდება.

შემომავალი პორტის სტატიკური გადამისამართება ავტომატურად არ არის საჭირო, როცა პირი იწყებს და მთარგმნელი ინახავს მდგომარეობას. ის საჭირო ხდება მაშინ, როცა დაშვება არასტაბილურია ან როცა გზაზე რაღაც აგრესიულად ამთავრებს მდგომარეობას.

ერთხელ ჩაიწერეთ მთარგმნელის ორივე მხარეს; შეფუთვის განსხვავება მაშინვე ჩანს.

ნაბიჯი 5: გამოყავით გარე ტრანსპორტი შიდა მარშრუტიზაციისგან

გვირაბი, რომელიც მყარდება და არაფერს გადააქვს, მარშრუტიზაციის პრობლემაა და არა NAT-T-ის. საიტებს კვლავ სჭირდებათ თავსებადი ტრაფიკის სელექტორები, შესაბამისი მისამართების სივრცეები, წვდომის წესები და დაბრუნების გზა აპლიკაციის ქსელებისთვის. ამათგან არაფერს იძლევა წარმატებული IKE გაცვლა.

თუ ორი საიტი იყენებს გადაფარებულ კერძო დიაპაზონებს, გვირაბის შიგნით თარგმანი ცალკე დიზაინია საკუთარი წესებით. ნუ გადანომრავთ ქვექსელს მხოლოდ იმიტომ, რომ გარე კარიბჭე შემთხვევით სახლის როუტერის უკანაა.

სანამ რამეს შეცვლით, დაახარისხეთ ჩავარდნა ეტაპის მიხედვით და შეინახეთ ეს კლასიფიკაცია ბილეთში, რომ შემდეგმა ადამიანმა იქიდან დაიწყოს, სადაც თქვენ გაჩერდით.