IOS VPN шығысында қай интерфейс NAT-тың ішкі және сыртқы рөлін алады
Шифры шешілген клиент пакетін виртуалды интерфейстен жоғарғы арнаға дейін бақылаңыз. Аударма сол ішкі ағынға жатады, туннельдің сыртқы тасымалына емес.
Толық туннельмен интернет шығысын ұсынатын маршрутизаторлар бір сияқты көрінетін екі жұмыс істейді. Олар туннельді аяқтайды және шифры шешілген клиент пакетін интернетке жібереді. Тек екінші жұмысқа аударма қажет, және аударма ішкі ағынға сай болуы керек. Осы айырмашылық қай интерфейстердің NAT рөлдерін көтеретінін және ережеде қай мекенжай ауқымы пайда болатынын анықтайды.
Бір пакетті маршрутизатор арқылы бақылаңыз
10.90.0.25 мекенжайындағы қоғамдық HTTPS қызметін ашатын клиентті алыңыз. Бұл межеліктің туннельге кіру-кірмеуі клиенттің өз саясатының шешімі. Кіргеннен кейін маршрутизатор пакеттің шифрын шешіп, оны виртуалды интерфейске береді, сол жерден қоғамдық жоғарғы арнаға бағытталады.
Бұл виртуалды интерфейс — аударманың ішкі жағы. Қоғамдық жоғарғы арна — сыртқы жағы. Рөлдер ауысып кетсе немесе жоқ болса, пакет не жеке көзбен шығады, не аударылмай тұрып тасталады.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Аударма саясатын клиенттер пулына сәйкестендіріңіз
NAT ережесі клиенттер шын мәнінде алатын ауқымды атауы керек, кездейсоқ сол жоғарғы арнаны бөлісетін кеңсе LAN-ын емес. Тек жергілікті қосымша желіні қамтитын ереже қашықтағы клиенттерді өткізіп жібереді, тіпті екеуі де бір интерфейстен шықса да.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadЖеке сайттардың ерекшеліктерін бөлек ұстаңыз. Ішкі межеліктерге баратын трафик өзінің бастапқы көзін сақтауы керек, әйтпесе межелік жете алмайтын мекенжайға жауап береді және қайтару жолы маршруттау цикліне ұқсайтын түрде сәтсіз болады.
Рөлдерді енгізілген жобаның нақты интерфейстеріне қолданыңыз. Ескі Easy VPN жауабынан көшірілген Virtual-Template үзіндісі толық ағымдағы конфигурация емес, ал қолданылатын туннель түрі шифры шешілген пакетті қай интерфейс алатынын анықтайды.
Сыртқы тасымал мен ішкі аударманы бөлек ұстаңыз
Шифры шешілген қолданба көзін аудару — IKE немесе қорғалған пакеттерді жоғарыдағы NAT құрылғысы арқылы өткізумен бірдей операция емес. Біріншісі интернет клиент сұранысының көзі ретінде нені көретінін өзгертеді; екіншісі туннельді аралық қорап арқылы тірі ұстайды.
Екеуін шатастыру екі классикалық ақау береді. Өзінің туннель тасымалын аударатын маршрутизатор серіктес қатынасын бұзады, ал ішкі ағынды ешқашан аудармайтын маршрутизатор жеке мекенжайларды интернетке жібереді. Ережені өңдеуден бұрын қай ағынды қарап отырғаныңызды оқыңыз және өзгерістен кейін туннель көтеріліп тұрғанын тексеріңіз. Шолуды түзетіп, бірақ туннельді құлататын ереже мәселені шешпей, орнын ауыстырған.
Екі ақаудың ешқайсысы екіншісін өзгертумен түзелмейді. Ережені өңдеуден бұрын қай ағынды қарап отырғаныңызды оқыңыз.
Екі шекарада да тексеріңіз
Интернет шекарасында қолданба көзін, қайтару жолында қалпына келтірілген межелікті оқыңыз. Біріншісі аударма болды ма, соны айтады; екіншісі кері бейнелеу дұрыс клиентке қайтты ма, соны айтады.
Содан кейін мақұлданған бөлінген туннель жолын қолданатын клиентті сынаңыз. Ол клиент бұл маршрутизатордың интернет аудармасын ешқашан қолданбайды, сондықтан өзгеше әрекет етуі керек, және айырмашылық трафиктің қай жолмен кеткенін растайды.
Екі клиент бірдей әрекет етсе, бөлінген туннель саясаты жоба айтқанды орындамайды. Қосымша аударма ережелерін қоспас бұрын оны түзетіңіз, өйткені қолданылмайтын жол үшін жазылған ереже нақты мәселені жасырады.