NAT артындағы FortiGate: local-gw, localid және жария IP

NAT артындағы FortiGate өзінің WAN интерфейсінде 10.0.0.2 мекенжайын ұстай алады, ал интернет оны 198.51.100.40 ретінде көрсетеді, және екі сан да нақты. Құрылғы байланысатын мекенжай мен IKE аутентификациясы кезінде жіберетін сәйкестік — бөлек шешімдер, бөлек өрістерде, бөлек аудитория үшін қабылданған. NAT жолда сыртқы мекенжайлауды қайта жазады, бірақ аутентификацияланған сәйкестікті алыстағы әріптес күтетін мәнге қайта жазбайды. Бұл пішіндегі 1-фаза сәтсіздіктерінің көбі дұрыс мәнді қате өріске қоюдан келеді.

Үш мән, үш иесі

Үш мәнді және әрқайсысының иесін атаудан бастаңыз. local-gw — FortiGate сыртқы интерфейсте IKE көзі ретінде пайдаланатын мекенжай және ол құрылғы шынымен ұстайтын мекенжай болуы керек. Жария соңғы нүкте — NAT құрылғысының мекенжайы, ол аударма жасайтын тарапқа тиесілі. IKE сәйкестігі — әріптес өз конфигурациясымен салыстыратын жол, және ол мүлдем IP мекенжай болуы міндетті емес.

Өріс атаулары алмастыруға шақырарлықтай жақын, және тұзақ осында. localid және localid-type сәйкестендіруді сипаттайды; local-gw жергілікті байланысты сипаттайды.

Мысал айырмашылықты нақты етеді. FortiGate-те config vpn ipsec phase1-interface ашыңыз, содан кейін set interface "wan1" және set local-gw 10.0.0.2 — қорап ұстайтын мекенжай, және дәл осы IKE сокетінің сәтті байланысуын қамтамасыз етеді. local-gw мәнін 0.0.0.0 күйінде қалдырсаңыз, интерфейс мекенжайы пайдаланылады, бұл әдетте сол нәрсе, бірақ айқын емес. local-gw мәнін 198.51.100.40 мекенжайына қоймаңыз, өйткені құрылғы бұл мекенжайды ұстамайды және сокет оған байланыспайды. Екі мәнді қағазда тең көрсету конфигурация емес.

1-қадам: әріптес қабылдайтын сәйкестікті таңдаңыз

Енді сәйкестік, бұл басқа шешім. set localid әріптес салыстыратын мәнді алады, ал set localid-type FortiGate-ке оны қалай түсіндіруді айтады: мекенжай, FQDN, пайдаланушы FQDN немесе кілт ID. auto кезінде құрылғы оны шығыс интерфейсінің мекенжайынан шығарады, бұл NAT құрылғысы өзгертуге дайындалып отырған мән.

Дәл осы шығару осы топологияда айқын сәйкестіктің маңызды болу себебі. Егер әріптес мекенжай сәйкестігін күтсе, localid-type address және localid мәндерін әріптес көретін жария мекенжайға қойыңыз, содан кейін әріптес бұл мәнді маршруттау мақсаты ретінде емес, сәйкестік ретінде қабылдайтынын растаңыз. Егер әріптес FQDN күтсе, localid-type fqdn және ол конфигурацияланған атауды пайдаланыңыз. Нақты не жіберілгенін diagnose vpn ike gateway list арқылы тексеріңіз, ол шлюз күйін және пайдаланылып жатқан идентификаторларды көрсетеді, сіз тергіңіз келгенді емес. Сәйкестік түрінің опциясы кез келген жергілікті емес мекенжайды қабылдайды деп ойламаңыз; алдымен шығарылымның құжатталған семантикасын тексеріңіз.

2-қадам: UDP 500 және 4500-ді құрылғыға бағыттаңыз

Үшінші мән NAT құрылғысына тиесілі, және адамдар тексеруді ұмытатын дәл осы. Жария соңғы нүкте UDP 500 және UDP 4500-ді FortiGate-ке бағыттауы керек, өйткені NAT-T анықтау және одан кейінгі инкапсуляцияланған ESP екеуі де осы порттардың келуіне тәуелді. Бұл дизайн бір-бірге сәйкестікті болжайды; бір жария мекенжайды бірнеше әріптес арасында порт бойынша бөлісу — басқа шектеулері бар басқа топология.

Бағыттауды үмітпен емес, түсіріліммен растаңыз: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 пакеттердің келіп жатқанын және жауаптардың шығып жатқанын көрсетеді.

Google Cloud VPN NAT артындағы әріптес үшін қолдау көрсетілетін реттеу ретінде NAT-T-мен бір-бірге NAT-ты құжаттайды, және алыс жақ Cloud VPN шлюзі болса, дәл осы шектеуге қарсы жобалау керек. Бір-көпке немесе порт бойынша бөлісу — сол қолдау көрсетілетін топология емес, және жергілікті сәйкестікті реттеу мұны өзгертпейді. Егер алыс жақ басқа құрылғы болса, оның өз құжаттамасы сәйкестік ретінде нені қабылдайтынын және аударылған әріптес мекенжайын көтере алатынын анықтайды. Жергілікті өрісті өзгерту алдында соны оқыңыз, өйткені жергілікті жақ алыс жақ орындамайтын ережені келісе алмайды.

3-қадам: 1-фаза нені шешпейтінін тексеріңіз

NAT-тан өту туннельді көтереді, сәйкестік келісімі әріптес оны қабылдайтынын шешеді, ал ішкі префиксті маршруттау нақты ненің өтетінін шешеді. Дұрыс жергілікті ID жетіспейтін статикалық маршрутты немесе жетіспейтін трафик селекторын бере алмайды.

Сондықтан қабат-қабат тексеріңіз. get vpn ipsec tunnel details туннельдің көтерілгенін және қандай селекторлар келісілгенін көрсетеді, ал конфигурацияланған алыс ішкі желі мен келісілген селектор арасындағы сәйкессіздік — 2-фаза киіміндегі маршруттау мәселесі. execute vpn ike gateway clear қайта келіссөзді мәжбүрлейді, сондықтан сіз ағымдағы конфигурацияны тексересіз, соңғы өзгерісіңізге дейін орнатылған сессияны емес. Содан кейін алыс префикстегі хостқа трафик жіберіңіз және санауыштардың қозғалатынын растаңыз, өйткені көтерілген және ештеңе өткізбейтін туннель тексергенге дейін жұмыс істеп тұрған туннельге ұқсайды.

Үш мәнді жазбаларыңызда бір жерде ұстаңыз: құрылғы ұстайтын жергілікті мекенжай, NAT құрылғысы ұсынатын жария соңғы нүкте және әріптес күтетін сәйкестік жолы. Олар әртүрлі себептермен және әртүрлі уақытта өзгереді.

NAT құрылғысын қайта нөмірлеу FortiGate-тің local-gw өрісіне тиюге себеп емес, ал сәйкестікті өзгерту бірдеңені қайта нөмірлеуге себеп емес. Екеуін араластыру — жұмыс істеп тұрған туннельді байланыссыз қызмет көрсету терезесінде қайта құру жолы. Cloud VPN NAT нұсқаулығы сол жақтағы қолдау көрсетілетін топологияның анықтамасы.

Мәселені шешетін тест зеріктіретін және жылдам: сыртқы интерфейсте түсіріңіз, UDP 500 және 4500 әріптестен келетінін растаңыз, IKE алмасуындағы сәйкестік әріптес күтуге конфигурацияланғанға сәйкес келетінін растаңыз, содан кейін келісілген селекторлар сізге маңызды ішкі желілерді қамтитынын растаңыз. Бірінші тексеру сәтсіз болса, күдікті — NAT құрылғысы. Екіншісі сәтсіз болса, сәйкестік өрістері. Үшіншісі сәтсіз болса, NAT та, сәйкестік те ешқашан мәселе болмаған.