NAT артындагы FortiGate: local-gw, localid жана жарыя IP

NAT артындагы FortiGate өзүнүн WAN интерфейсинде 10.0.0.2 дарегин ээлей алат, ал эми интернет аны 198.51.100.40 катары көрсөтөт, жана эки сан тең чыныгы. Түзмөк байланышкан дарек менен IKE аутентификациясынын учурунда жиберген идентификатор — өзүнчө чечимдер, өзүнчө талааларда, өзүнчө аудитория үчүн кабыл алынган. NAT жолдо сырткы даректөөнү кайра жазат, бирок аутентификацияланган идентификаторду алыскы өнөктөш күткөн мааниге кайра жазбайт. Бул формадагы 1-фазанын ийгиликсиздиктеринин көбү туура маанини туура эмес талаага коюудан келет.

Үч маани, үч ээси

Үч маанини жана ар биринин ээсин атоодон баштаңыз. local-gw — FortiGate сырткы интерфейсте IKE булагы катары колдонгон дарек жана ал түзмөк чындап ээлеген дарек болушу керек. Жарыя акыркы чекит — NAT түзмөгүнүн дареги, ал которууну аткарган тарапка таандык. IKE идентификатору — өнөктөш өз конфигурациясы менен салыштырган сап, жана ал IP дарек болушу таптакыр милдеттүү эмес.

Талаа аттары алмаштырууга чакырганча жакын, жана тузак ушунда. localid жана localid-type идентификацияны сүрөттөйт; local-gw жергиликтүү байланышты сүрөттөйт.

Мисал айырмачылыкты тактайт. FortiGate'те config vpn ipsec phase1-interface ачыңыз, андан кийин set interface "wan1" жана set local-gw 10.0.0.2 — куту ээлеген дарек, жана дал ушул IKE сокетин ийгиликтүү байланыштырат. local-gw маанисин 0.0.0.0 калтырсаңыз, интерфейс дареги колдонулат, бул адатта ошол эле нерсе, бирок азыраак айкын. local-gw маанисин 198.51.100.40 дарегине койбоңуз, анткени түзмөк бул даректи ээлебейт жана сокет ага байланышпайт. Эки маанини кагазда барабар көрсөтүү конфигурация эмес.

1-кадам: өнөктөш кабыл ала турган идентификаторду тандаңыз

Эми идентификатор, бул башка чечим. set localid өнөктөш салыштыра турган маанини алат, ал эми set localid-type FortiGate'ке аны кантип чечмелөөнү айтат: дарек, FQDN, колдонуучу FQDN же ачкыч ID. auto менен түзмөк аны чыгаркылайт, адатта чыгуучу интерфейстин дарегинен, бул NAT түзмөгү өзгөртүүгө даярданып жаткан маани.

Дал ушул чыгаруу ушул топологияда ачык идентификатордун маанилүүлүгүнүн себеби. Эгер өнөктөш дарек идентификаторун күтсө, localid-type address жана localid маанилерин өнөктөш көрө турган жарыя дарекке коюңуз, андан кийин өнөктөш бул маанини маршруттоо максаты катары эмес, идентификатор катары кабыл алаарын ырастаңыз. Эгер өнөктөш FQDN күтсө, localid-type fqdn жана ал конфигурацияланган атты колдонуңуз. Чындыгында эмне жиберилгенин diagnose vpn ike gateway list аркылуу текшериңиз, ал шлюздун абалын жана колдонулуп жаткан идентификаторлорду көрсөтөт, сиз тергиңиз келгенди эмес. Идентификатор түрүнүн опциясы каалаган жергиликтүү эмес даректи кабыл алат деп ойлобоңуз; адегенде чыгарылыштын документтелген семантикасын текшериңиз.

2-кадам: UDP 500 жана 4500ди түзмөккө багыттаңыз

Үчүнчү маани NAT түзмөгүнө таандык, жана адамдар текшерүүнү унутуп калган дал ошол. Жарыя акыркы чекит UDP 500 жана UDP 4500ди FortiGate'ке багыттоого тийиш, анткени NAT-T аныктоо жана андан кийинки инкапсуляцияланган ESP экөө тең бул порттордун келишине көз каранды. Бул долбоор бир-бирге дал келүүнү болжолдойт; бир жарыя даректи бир нече өнөктөштүн ортосунда порт боюнча бөлүшүү — башка чектөөлөрү бар башка топология.

Багыттоону үмүт менен эмес, кармоо менен ырастаңыз: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 пакеттердин келип жатканын жана жооптордун чыгып жатканын көрсөтөт.

Google Cloud VPN NAT артындагы өнөктөш үчүн колдоого алынган жайгашуу катары NAT-T менен бир-бирге NATты документтештирет, жана алыскы тарап Cloud VPN шлюзу болсо, дал ушул чектөөгө каршы долбоорлоо керек. Бир-көпкө же порт боюнча бөлүшүү — ошол эле колдоого алынган топология эмес, жана жергиликтүү идентификаторду жөндөө муну өзгөртпөйт. Эгер алыскы тарап башка түзмөк болсо, анын өз документтери идентификатор катары эмнени кабыл алаарын жана которулган өнөктөштүн дарегин көтөрө алаарын аныктайт. Жергиликтүү талааны өзгөртүүдөн мурун аны окуңуз, анткени жергиликтүү тарап алыскы тарап аткарбаган эрежени сүйлөшө албайт.

3-кадам: 1-фаза эмнени чечпесин текшериңиз

NAT аркылуу өтүү туннелди көтөрөт, идентификатор боюнча макулдашуу өнөктөш аны кабыл алаарын чечет, ал эми ички префиксти маршруттоо чындыгында эмненин өтөөрүн чечет. Туура жергиликтүү ID жок статикалык маршрутту же жок трафик селекторун бере албайт.

Ошондуктан катмар-катмар текшериңиз. get vpn ipsec tunnel details туннелдин көтөрүлгөнүн жана кайсы селекторлор сүйлөшүлгөнүн көрсөтөт, ал эми конфигурацияланган алыскы ички тармак менен сүйлөшүлгөн селектордун ортосундагы дал келбестик — 2-фаза кийиминдеги маршруттоо маселеси. execute vpn ike gateway clear кайра сүйлөшүүгө мажбурлайт, ошондуктан сиз учурдагы конфигурацияны текшерип жатасыз, акыркы өзгөртүүңүзгө чейин түзүлгөн сессияны эмес. Андан кийин алыскы префикстеги хостко трафик жибериңиз жана эсептегичтердин кыймылдаарын ырастаңыз, анткени көтөрүлгөн жана эч нерсе өткөрбөгөн туннел текшергенге чейин иштеп жаткан туннелге окшош.

Үч маанини жазууларыңызда бир жерде сактаңыз: түзмөк ээлеген жергиликтүү дарек, NAT түзмөгү сунуштаган жарыя акыркы чекит жана өнөктөш күткөн идентификатор сабы. Алар ар кандай себептерден жана ар кандай убакытта өзгөрөт.

NAT түзмөгүн кайра номерирлөө FortiGate'тин local-gw талаасына тийүүгө себеп эмес, ал эми идентификаторду өзгөртүү бир нерсени кайра номерирлөөгө себеп эмес. Экөөнү аралаштыруу — иштеп жаткан туннелди байланышсыз тейлөө терезесинде кайра куруу жолу. Cloud VPN NAT колдонмосу ошол тараптагы колдоого алынган топология үчүн шилтеме.

Маселени чечкен тест зериктиргич жана тез: сырткы интерфейсте кармоо жасаңыз, UDP 500 жана 4500 өнөктөштөн келерин ырастаңыз, IKE алмашуусундагы идентификатор өнөктөш күтүүгө конфигурацияланганга дал келерин ырастаңыз, андан кийин сүйлөшүлгөн селекторлор сизге маанилүү ички тармактарды камтыйарын ырастаңыз. Биринчи текшерүү ийгиликсиз болсо, шектүү — NAT түзмөгү. Экинчиси ийгиликсиз болсо, идентификатор талаалары. Үчүнчүсү ийгиликсиз болсо, NAT да, идентификатор да эч качан маселе болгон эмес.