რომელი ინტერფეისი იღებს NAT-ის შიდა და გარე როლს IOS VPN გასასვლელზე
მიჰყევით გაშიფრულ კლიენტის პაკეტს ვირტუალური ინტერფეისიდან ზედა რგოლამდე. თარგმანი ეკუთვნის სწორედ ამ შიდა ნაკადს და არა გვირაბის გარე ტრანსპორტს.
როუტერები, რომლებიც სრული გვირაბით ინტერნეტის გასასვლელს გვაძლევენ, ორ საქმეს ასრულებენ, რომლებიც ერთად გვეჩვენება. ისინი ამთავრებენ გვირაბს და გაშიფრულ კლიენტის პაკეტს ინტერნეტში აგზავნიან. მხოლოდ მეორე საქმეს სჭირდება თარგმანი, და თარგმანი შიდა ნაკადს უნდა შეესაბამებოდეს. სწორედ ეს განსხვავება განსაზღვრავს, რომელი ინტერფეისები ატარებენ NAT-ის როლებს და რომელი მისამართების დიაპაზონი ჩნდება წესში.
მიჰყევით ერთ პაკეტს როუტერში
აიღეთ კლიენტი 10.90.0.25 მისამართზე, რომელიც საჯარო HTTPS სერვისს ხსნის. შედის თუ არა ეს დანიშნულება გვირაბში საერთოდ, თავად კლიენტის პოლიტიკის გადაწყვეტილებაა. როცა შედის, როუტერი პაკეტს გაშიფრავს და ვირტუალურ ინტერფეისს გადასცემს, საიდანაც ის საჯარო ზედა რგოლისკენ მარშრუტირდება.
ეს ვირტუალური ინტერფეისი თარგმანის შიდა მხარეა. საჯარო ზედა რგოლი გარე მხარეა. თუ როლები შებრუნებულია ან აკლია, პაკეტი ან კერძო წყაროთი გადის, ან თარგმნამდე უგულებელყოფილია.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
შეუსაბამეთ თარგმანის პოლიტიკა კლიენტების აუზს
NAT-ის წესმა უნდა დაასახელოს ის დიაპაზონი, რომელსაც კლიენტები რეალურად იღებენ და არა ოფისის LAN, რომელიც შემთხვევით იზიარებს იმავე ზედა რგოლს. მხოლოდ ლოკალურ ქვექსელს დაფარვის წესი დისტანციურ კლიენტებს გამოტოვებს, მაშინაც კი როცა ორივე ერთი და იმავე ინტერფეისიდან გადის.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadკერძო საიტების გამონაკლისები ცალკე შეინახეთ. შიდა დანიშნულებებისკენ ტრაფიკმა თავისი საწყისი წყარო უნდა შეინარჩუნოს, თორემ დანიშნულება ისეთ მისამართს უპასუხებს, რომელსაც ვერ მიაღწევს, და დაბრუნების გზა ისე ჩავარდება, რომ მარშრუტირების მარყუჟს დაემსგავსება.
როლები გამოიყენეთ გაშლილი დიზაინის რეალურ ინტერფეისებზე. ძველი Easy VPN პასუხიდან კოპირებული Virtual-Template-ის ნაფრაგმი სრული მიმდინარე კონფიგურაცია არ არის, და გამოყენებული გვირაბის ტიპი განსაზღვრავს, რომელი ინტერფეისი მიიღებს გაშიფრულ პაკეტს.
გარე ტრანსპორტი და შიდა თარგმანი ცალ-ცალკე გეჭიროთ
გაშიფრული აპლიკაციის წყაროს თარგმნა არ არის იგივე ოპერაცია, რაც IKE-ის ან დაცული პაკეტების გატარება NAT-ის მოწყობილობაში ზემოთ. პირველი ცვლის, რასაც ინტერნეტი კლიენტის მოთხოვნის წყაროდ ხედავს; მეორე გვირაბს ცოცხლად ინარჩუნებს შუალედური ყუთის გავლით.
ორივის არევა ორ კლასიკურ ჩავარდნას იძლევა. როუტერი, რომელიც საკუთარ გვირაბის ტრანსპორტს თარგმნის, პარტნიორის კავშირს ამტვრევს, ხოლო როუტერი, რომელიც შიდა ნაკადს არასდროს თარგმნის, კერძო მისამართებს ინტერნეტში აგზავნის. წესის რედაქტირებამდე წაიკითხეთ, რომელ ნაკადს უყურებთ, და შეამოწმეთ, დარჩა თუ არა გვირაბი აწეული ცვლილების შემდეგ. წესი, რომელიც დათვალიერებას ასწორებს, მაგრამ გვირაბს აგდებს, პრობლემა გადაიტანა და არ გადაჭრა.
არც ერთი ჩავარდნა არ სწორდება მეორის შეცვლით. წესის რედაქტირებამდე წაიკითხეთ, რომელ ნაკადს უყურებთ.
გადაამოწმეთ ორივე საზღვარზე
წაიკითხეთ აპლიკაციის წყარო ინტერნეტის საზღვარზე, და აღდგენილი დანიშნულება დაბრუნების გზაზე. პირველი გეუბნებათ, მოხდა თუ არა თარგმანი; მეორე გეუბნებათ, დაბრუნდა თუ არა შებრუნებული ასახვა სწორ კლიენტთან.
შემდეგ გამოსცადეთ კლიენტი, რომელიც დამტკიცებულ გაყოფილი გვირაბის გზას იყენებს. ის კლიენტი ამ როუტერის ინტერნეტის თარგმანს არასდროს იყენებს, ამიტომ განსხვავებულად უნდა მოიქცეს, და ეს განსხვავება ადასტურებს, რომელი გზით წავიდა ტრაფიკი.
თუ ორივე კლიენტი ერთნაირად იქცევა, გაყოფილი გვირაბის პოლიტიკა იმას არ აკეთებს, რასაც დიზაინი ამბობს. გაასწორეთ ეს სანამ დამატებით თარგმანის წესებს დაამატებთ, რადგან გამოუყენებელი გზისთვის დაწერილი წესი ნამდვილ პრობლემას მალავს.