NAT ಹಿಂದಿನ FortiGate: local-gw, localid ಮತ್ತು ಸಾರ್ವಜನಿಕ IP

NAT ಹಿಂದಿನ FortiGate ತನ್ನ WAN ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ 10.0.0.2 ಹೊಂದಿರಬಹುದು, ಆದರೆ ಇಂಟರ್ನೆಟ್ ಅದನ್ನು 198.51.100.40 ಎಂದು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಎರಡೂ ಸಂಖ್ಯೆಗಳು ನಿಜವಾದವು. ಸಾಧನ ಸಂಪರ್ಕಗೊಳ್ಳುವ ವಿಳಾಸ ಮತ್ತು IKE ದೃಢೀಕರಣದ ಸಮಯದಲ್ಲಿ ಕಳುಹಿಸುವ ಗುರುತು ಪ್ರತ್ಯೇಕ ನಿರ್ಧಾರಗಳು, ಪ್ರತ್ಯೇಕ ಕ್ಷೇತ್ರಗಳಲ್ಲಿ, ಪ್ರತ್ಯೇಕ ಪ್ರೇಕ್ಷಕರಿಗಾಗಿ ತೆಗೆದುಕೊಳ್ಳಲಾಗುತ್ತದೆ. NAT ದಾರಿಯಲ್ಲಿ ಹೊರಗಿನ ವಿಳಾಸವನ್ನು ಮರುಬರೆಯುತ್ತದೆ; ದೃಢೀಕೃತ ಗುರುತನ್ನು ದೂರದ ಪೀರ್ ನಿರೀಕ್ಷಿಸುವಂತೆ ಮರುಬರೆಯುವುದಿಲ್ಲ. ಈ ರೂಪದಲ್ಲಿ ಹೆಚ್ಚಿನ ಫೇಸ್ 1 ವೈಫಲ್ಯಗಳು ಸರಿಯಾದ ಮೌಲ್ಯವನ್ನು ತಪ್ಪು ಕ್ಷೇತ್ರದಲ್ಲಿ ಇಡುವುದರಿಂದ ಬರುತ್ತವೆ.

ಮೂರು ಮೌಲ್ಯಗಳು, ಮೂರು ಮಾಲೀಕರು

ಮೂರು ಮೌಲ್ಯಗಳನ್ನು ಮತ್ತು ಪ್ರತಿಯೊಂದರ ಮಾಲೀಕರನ್ನು ಹೆಸರಿಸುವ ಮೂಲಕ ಪ್ರಾರಂಭಿಸಿ. local-gw ಎಂಬುದು FortiGate ತನ್ನ ಬಾಹ್ಯ ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ IKE ಮೂಲವಾಗಿ ಬಳಸುವ ವಿಳಾಸ, ಮತ್ತು ಅದು ಸಾಧನವು ನಿಜವಾಗಿ ಹೊಂದಿರುವ ವಿಳಾಸವಾಗಿರಬೇಕು. ಸಾರ್ವಜನಿಕ ಎಂಡ್‌ಪಾಯಿಂಟ್ NAT ಸಾಧನದ ವಿಳಾಸ ಮತ್ತು ಅನುವಾದ ಮಾಡುವವರಿಗೆ ಸೇರಿದೆ. IKE ಗುರುತು ಎಂಬುದು ಪೀರ್ ತನ್ನ ಸ್ವಂತ ಸಂರಚನೆಯೊಂದಿಗೆ ಹೋಲಿಸುವ ಸ್ಟ್ರಿಂಗ್, ಮತ್ತು ಅದು IP ವಿಳಾಸವಾಗಿರಬೇಕೆಂಬ ನಿಯಮವಿಲ್ಲ.

ಕ್ಷೇತ್ರಗಳ ಹೆಸರುಗಳು ಬದಲಾವಣೆಗೆ ಆಮಂತ್ರಿಸುವಷ್ಟು ಹತ್ತಿರವಾಗಿವೆ, ಮತ್ತು ಅದೇ ಬಲೆ. localid ಮತ್ತು localid-type ಗುರುತಿಸುವಿಕೆಯನ್ನು ವಿವರಿಸುತ್ತವೆ; local-gw ಸ್ಥಳೀಯ ಬಂಧನವನ್ನು ವಿವರಿಸುತ್ತದೆ.

ಒಂದು ಉದಾಹರಣೆ ವ್ಯತ್ಯಾಸವನ್ನು ಸ್ಪಷ್ಟಗೊಳಿಸುತ್ತದೆ. FortiGate ನಲ್ಲಿ config vpn ipsec phase1-interface ತೆರೆಯಿರಿ, ನಂತರ set interface "wan1" ಮತ್ತು set local-gw 10.0.0.2 — ಬಾಕ್ಸ್ ಹೊಂದಿರುವ ವಿಳಾಸ, ಮತ್ತು ಇದೇ IKE ಸಾಕೆಟ್ ಯಶಸ್ವಿಯಾಗಿ ಬಂಧಿಸಲು ಕಾರಣ. local-gw ಅನ್ನು 0.0.0.0 ನಲ್ಲೇ ಬಿಟ್ಟರೆ ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸ ಬಳಸಲಾಗುತ್ತದೆ, ಇದು ಸಾಮಾನ್ಯವಾಗಿ ಅದೇ ವಿಷಯ ಆದರೆ ಕಡಿಮೆ ಸ್ಪಷ್ಟ. local-gw ಅನ್ನು 198.51.100.40 ಗೆ ಹೊಂದಿಸಬೇಡಿ, ಏಕೆಂದರೆ ಸಾಧನವು ಆ ವಿಳಾಸವನ್ನು ಹೊಂದಿಲ್ಲ ಮತ್ತು ಸಾಕೆಟ್ ಅದಕ್ಕೆ ಬಂಧಿಸುವುದಿಲ್ಲ. ಎರಡು ಮೌಲ್ಯಗಳನ್ನು ಕಾಗದದ ಮೇಲೆ ಸಮಾನವಾಗಿ ತೋರಿಸುವುದು ಸಂರಚನೆ ಅಲ್ಲ.

ಹಂತ 1: ಪೀರ್ ಸ್ವೀಕರಿಸುವ ಗುರುತನ್ನು ಆಯ್ಕೆಮಾಡಿ

ಈಗ ಗುರುತು, ಇದು ಬೇರೆ ನಿರ್ಧಾರ. set localid ಪೀರ್ ಹೋಲಿಸುವ ಮೌಲ್ಯವನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ, ಮತ್ತು set localid-type FortiGate ಗೆ ಅದನ್ನು ಹೇಗೆ ಅರ್ಥೈಸಬೇಕೆಂದು ಹೇಳುತ್ತದೆ: ವಿಳಾಸ, FQDN, ಬಳಕೆದಾರ FQDN ಅಥವಾ ಕೀ ID. auto ನೊಂದಿಗೆ ಸಾಧನವು ಅದನ್ನು ಪಡೆಯುತ್ತದೆ, ಸಾಮಾನ್ಯವಾಗಿ ಹೊರಹೋಗುವ ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸದಿಂದ, ಇದು NAT ಸಾಧನವು ಬದಲಾಯಿಸಲಿರುವ ಮೌಲ್ಯವೇ ಆಗಿದೆ.

ಈ ವ್ಯುತ್ಪತ್ತಿಯೇ ಈ ಟೋಪೋಲಜಿಯಲ್ಲಿ ಸ್ಪಷ್ಟ ಗುರುತು ಮುಖ್ಯವಾಗಲು ಕಾರಣ. ಪೀರ್ ವಿಳಾಸ ಗುರುತನ್ನು ನಿರೀಕ್ಷಿಸಿದರೆ, localid-type address ಮತ್ತು localid ಅನ್ನು ಪೀರ್ ನೋಡುವ ಸಾರ್ವಜನಿಕ ವಿಳಾಸಕ್ಕೆ ಹೊಂದಿಸಿ, ನಂತರ ಪೀರ್ ಆ ಮೌಲ್ಯವನ್ನು ರೂಟಿಂಗ್ ಗುರಿಯಾಗಿ ಅಲ್ಲ, ಗುರುತಾಗಿ ಸ್ವೀಕರಿಸುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಪೀರ್ FQDN ನಿರೀಕ್ಷಿಸಿದರೆ, localid-type fqdn ಮತ್ತು ಅದನ್ನು ಸಂರಚಿಸಿದ ಹೆಸರನ್ನು ಬಳಸಿ. ನಿಜವಾಗಿ ಏನು ಕಳುಹಿಸಲಾಗಿದೆ ಎಂಬುದನ್ನು diagnose vpn ike gateway list ನಿಂದ ಪರಿಶೀಲಿಸಿ, ಇದು ಗೇಟ್‌ವೇ ಸ್ಥಿತಿ ಮತ್ತು ಬಳಸುತ್ತಿರುವ ಗುರುತುಗಳನ್ನು ತೋರಿಸುತ್ತದೆ, ನೀವು ಟೈಪ್ ಮಾಡಲು ಉದ್ದೇಶಿಸಿದ್ದನ್ನು ಅಲ್ಲ. ಗುರುತು ಪ್ರಕಾರದ ಆಯ್ಕೆ ಯಾವುದೇ ಸ್ಥಳೀಯವಲ್ಲದ ವಿಳಾಸವನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಎಂದು ಊಹಿಸಬೇಡಿ; ಮೊದಲು ಬಿಡುಗಡೆಯ ದಾಖಲಿತ ಅರ್ಥಶಾಸ್ತ್ರವನ್ನು ಪರಿಶೀಲಿಸಿ.

ಹಂತ 2: UDP 500 ಮತ್ತು 4500 ಅನ್ನು ಸಾಧನಕ್ಕೆ ಮುಂದುವರಿಸಿ

ಮೂರನೇ ಮೌಲ್ಯ NAT ಸಾಧನಕ್ಕೆ ಸೇರಿದೆ, ಮತ್ತು ಜನರು ಪರಿಶೀಲಿಸಲು ಮರೆಯುವುದೇ ಅದನ್ನು. ಸಾರ್ವಜನಿಕ ಎಂಡ್‌ಪಾಯಿಂಟ್ UDP 500 ಮತ್ತು UDP 4500 ಅನ್ನು FortiGate ಗೆ ಮುಂದುವರಿಸಬೇಕು, ಏಕೆಂದರೆ NAT-T ಪತ್ತೆ ಮತ್ತು ಅದರ ನಂತರದ ಎನ್ಕ್ಯಾಪ್ಸುಲೇಟೆಡ್ ESP ಎರಡೂ ಆ ಪೋರ್ಟ್‌ಗಳ ಆಗಮನವನ್ನು ಅವಲಂಬಿಸಿವೆ. ಈ ವಿನ್ಯಾಸವು ಒಂದರಿಂದ ಒಂದು ಮ್ಯಾಪಿಂಗ್ ಎಂದು ಊಹಿಸುತ್ತದೆ; ಒಂದು ಸಾರ್ವಜನಿಕ ವಿಳಾಸವನ್ನು ಹಲವು ಪೀರ್‌ಗಳ ನಡುವೆ ಪೋರ್ಟ್ ಆಧಾರಿತವಾಗಿ ಹಂಚುವುದು ಬೇರೆ ಮಿತಿಗಳಿರುವ ಬೇರೆ ಟೋಪೋಲಜಿ.

ಮುಂದುವರಿಕೆಯನ್ನು ಕ್ಯಾಪ್ಚರ್‌ನಿಂದ ಖಚಿತಪಡಿಸಿ, ಆಸೆಯಿಂದ ಅಲ್ಲ: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 ಪ್ಯಾಕೆಟ್‌ಗಳು ಬರುತ್ತಿವೆಯೇ ಮತ್ತು ಉತ್ತರಗಳು ಹೊರಹೋಗುತ್ತಿವೆಯೇ ಎಂದು ತೋರಿಸುತ್ತದೆ.

Google Cloud VPN, NAT ಹಿಂದಿನ ಪೀರ್‌ಗೆ ಬೆಂಬಲಿತ ವ್ಯವಸ್ಥೆಯಾಗಿ NAT-T ಜೊತೆಗೆ ಒಂದರಿಂದ ಒಂದು NAT ಅನ್ನು ದಾಖಲಿಸುತ್ತದೆ, ಮತ್ತು ದೂರದ ತುದಿ Cloud VPN ಗೇಟ್‌ವೇ ಆಗಿದ್ದರೆ ಈ ಮಿತಿಯ ವಿರುದ್ಧ ವಿನ್ಯಾಸ ಮಾಡಬೇಕು. ಒಂದರಿಂದ ಅನೇಕ ಅಥವಾ ಪೋರ್ಟ್ ಆಧಾರಿತ ಹಂಚಿಕೆ ಅದೇ ಬೆಂಬಲಿತ ಟೋಪೋಲಜಿ ಅಲ್ಲ, ಮತ್ತು ಸ್ಥಳೀಯ ಗುರುತು ಟ್ಯೂನಿಂಗ್ ಎಷ್ಟೇ ಮಾಡಿದರೂ ಅದು ಬದಲಾಗುವುದಿಲ್ಲ. ದೂರದ ಬದಿ ಬೇರೆ ಸಾಧನವಾಗಿದ್ದರೆ, ಅದರ ಸ್ವಂತ ದಾಖಲೆಗಳು ಗುರುತಾಗಿ ಏನನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಮತ್ತು ಅನುವಾದಿತ ಪೀರ್ ವಿಳಾಸವನ್ನು ಸಹಿಸುತ್ತದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತವೆ. ಸ್ಥಳೀಯ ಕ್ಷೇತ್ರ ಬದಲಾಯಿಸುವ ಮೊದಲು ಅದನ್ನು ಓದಿ, ಏಕೆಂದರೆ ದೂರದ ಬದಿ ಜಾರಿಗೆ ತರದ ನಿಯಮವನ್ನು ಸ್ಥಳೀಯ ಬದಿ ಮಾತುಕತೆ ಮಾಡಲಾಗದು.

ಹಂತ 3: ಫೇಸ್ 1 ಏನನ್ನು ಪರಿಹರಿಸುವುದಿಲ್ಲ ಎಂದು ಪರಿಶೀಲಿಸಿ

NAT ಟ್ರಾವರ್ಸಲ್ ಸುರಂಗವನ್ನು ಮೇಲೆತ್ತುತ್ತದೆ, ಗುರುತಿನ ಒಪ್ಪಂದ ಪೀರ್ ಅದನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಒಳಗಿನ ಪ್ರಿಫಿಕ್ಸ್ ರೂಟಿಂಗ್ ನಿಜವಾಗಿ ಏನು ದಾಟುತ್ತದೆ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಸರಿಯಾದ ಸ್ಥಳೀಯ ID ಕಾಣೆಯಾದ ಸ್ಟಾಟಿಕ್ ರೂಟ್ ಅಥವಾ ಕಾಣೆಯಾದ ಟ್ರಾಫಿಕ್ ಸೆಲೆಕ್ಟರ್ ಅನ್ನು ಒದಗಿಸಲಾಗದು.

ಆದ್ದರಿಂದ ಪದರಗಳಲ್ಲಿ ಪರಿಶೀಲಿಸಿ. get vpn ipsec tunnel details ಸುರಂಗ ಮೇಲಿದೆಯೇ ಮತ್ತು ಯಾವ ಸೆಲೆಕ್ಟರ್‌ಗಳ ಮಾತುಕತೆ ನಡೆಯಿತು ಎಂದು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಸಂರಚಿತ ದೂರದ ಸಬ್‌ನೆಟ್ ಮತ್ತು ಮಾತುಕತೆಯ ಸೆಲೆಕ್ಟರ್ ನಡುವಿನ ಅಸಂಗತಿ ಫೇಸ್ 2 ವೇಷದಲ್ಲಿ ರೂಟಿಂಗ್ ಸಮಸ್ಯೆ. execute vpn ike gateway clear ಮತ್ತೆ ಮಾತುಕತೆಗೆ ಒತ್ತಾಯಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ನೀವು ಪ್ರಸ್ತುತ ಸಂರಚನೆಯನ್ನು ಪರೀಕ್ಷಿಸುತ್ತಿದ್ದೀರಿ, ನಿಮ್ಮ ಕೊನೆಯ ಬದಲಾವಣೆಗೆ ಮೊದಲು ಸ್ಥಾಪಿತವಾದ ಸೆಷನ್ ಅಲ್ಲ. ನಂತರ ದೂರದ ಪ್ರಿಫಿಕ್ಸ್‌ನ ಹೋಸ್ಟ್‌ಗೆ ಟ್ರಾಫಿಕ್ ಕಳುಹಿಸಿ ಮತ್ತು ಕೌಂಟರ್‌ಗಳು ಚಲಿಸುತ್ತವೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಏಕೆಂದರೆ ಮೇಲಿದ್ದು ಏನನ್ನೂ ದಾಟಿಸದ ಸುರಂಗವು ಪರಿಶೀಲಿಸುವವರೆಗೆ ಕೆಲಸ ಮಾಡುವಂತೆಯೇ ಕಾಣುತ್ತದೆ.

ಮೂರು ಮೌಲ್ಯಗಳನ್ನು ನಿಮ್ಮ ಟಿಪ್ಪಣಿಗಳಲ್ಲಿ ಒಂದೇ ಸ್ಥಳದಲ್ಲಿ ಇರಿಸಿ: ಸಾಧನ ಹೊಂದಿರುವ ಸ್ಥಳೀಯ ವಿಳಾಸ, NAT ಸಾಧನ ಪ್ರಸ್ತುತಪಡಿಸುವ ಸಾರ್ವಜನಿಕ ಎಂಡ್‌ಪಾಯಿಂಟ್, ಮತ್ತು ಪೀರ್ ನಿರೀಕ್ಷಿಸುವ ಗುರುತು ಸ್ಟ್ರಿಂಗ್. ಅವು ಬೇರೆ ಬೇರೆ ಕಾರಣಗಳಿಗಾಗಿ ಮತ್ತು ಬೇರೆ ಬೇರೆ ಸಮಯಗಳಲ್ಲಿ ಬದಲಾಗುತ್ತವೆ.

NAT ಸಾಧನದ ಮರುಸಂಖ್ಯೀಕರಣ FortiGate ನ local-gw ಅನ್ನು ಮುಟ್ಟಲು ಕಾರಣವಲ್ಲ, ಮತ್ತು ಗುರುತು ಬದಲಾವಣೆ ಯಾವುದನ್ನೂ ಮರುಸಂಖ್ಯೀಕರಿಸಲು ಕಾರಣವಲ್ಲ. ಎರಡನ್ನೂ ಬೆರೆಸುವುದೇ ಕೆಲಸ ಮಾಡುವ ಸುರಂಗವನ್ನು ಸಂಬಂಧವಿಲ್ಲದ ನಿರ್ವಹಣಾ ಅವಧಿಯಲ್ಲಿ ಮರುನಿರ್ಮಿಸುವ ವಿಧಾನ. Cloud VPN NAT ಮಾರ್ಗದರ್ಶನ ಆ ಬದಿಯ ಬೆಂಬಲಿತ ಟೋಪೋಲಜಿಗೆ ಉಲ್ಲೇಖ.

ಇದನ್ನು ನಿರ್ಣಯಿಸುವ ಪರೀಕ್ಷೆ ನೀರಸ ಮತ್ತು ವೇಗವಾದದ್ದು: ಬಾಹ್ಯ ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ ಕ್ಯಾಪ್ಚರ್ ಮಾಡಿ, ಪೀರ್‌ನಿಂದ UDP 500 ಮತ್ತು 4500 ಬರುತ್ತವೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, IKE ವಿನಿಮಯದಲ್ಲಿನ ಗುರುತು ಪೀರ್ ನಿರೀಕ್ಷಿಸಲು ಸಂರಚಿಸಲಾದದ್ದಕ್ಕೆ ಹೊಂದುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ನಂತರ ಮಾತುಕತೆಯ ಸೆಲೆಕ್ಟರ್‌ಗಳು ನಿಮಗೆ ಮುಖ್ಯವಾದ ಸಬ್‌ನೆಟ್‌ಗಳನ್ನು ಆವರಿಸುತ್ತವೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಮೊದಲ ಪರಿಶೀಲನೆ ವಿಫಲವಾದರೆ, ಶಂಕಿತ NAT ಸಾಧನ. ಎರಡನೆಯದು ವಿಫಲವಾದರೆ, ಗುರುತು ಕ್ಷೇತ್ರಗಳು. ಮೂರನೆಯದು ವಿಫಲವಾದರೆ, NAT ಅಥವಾ ಗುರುತು ಎಂದೂ ಸಮಸ್ಯೆಯಾಗಿರಲಿಲ್ಲ.