IOS VPN чыгымында кайсы интерфейс NAT-тын ички жана тышкы ролун алат
Шифры чечилген кардар пакетин виртуалдык интерфейстен жогорку звеного чейин көзөмөлдөңүз. Котормо ошол ички агымга таандык, туннелдин тышкы ташуусуна эмес.
Толук туннел менен интернет чыгымын сунуштаган маршрутизаторлор бирдей көрүнгөн эки иш аткарат. Алар туннелди бүтүрүп, шифры чечилген кардар пакетин интернетке жөнөтөт. Котормо экинчи ишке гана керек, жана котормо ички агымга дал келиши керек. Ушул айырма кайсы интерфейстер NAT ролдорун көтөрөрүн жана эрежеде кайсы дарек диапазону пайда болорун аныктайт.
Бир пакетти маршрутизатор аркылуу көзөмөлдөңүз
10.90.0.25 дарегиндеги коомдук HTTPS кызматын ачкан кардарды алыңыз. Бул багыт туннелге кирери-кирбеси кардардын өз саясатынын чечими. Киргенден кийин маршрутизатор пакеттин шифрын чечип, аны виртуалдык интерфейске берет, андан ары коомдук жогорку звеного багытталат.
Ошол виртуалдык интерфейс котормонун ички жагы. Коомдук жогорку звено тышкы жагы. Ролдор алмашса же жок болсо, пакет же жеке булак менен чыгат, же которууга чейин ыргытылат.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Котормо саясатын кардарлар пулуна шайкеш келтириңиз
NAT эрежеси кардарлар чындап алган диапазонду аташы керек, кокустан ошол эле жогорку звенону бөлүшкөн кеңсе LAN-ын эмес. Жергиликтүү субнетти гана камтыган эреже алыскы кардарларды өткөрүп жиберет, экөө тең бир интерфейстен чыкса да.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadЖеке сайттардын өзгөчөлүктөрүн өзүнчө кармаңыз. Ички багыттарга барган трафик өзүнүн баштапкы булагын сакташы керек, болбосо багыт жете албаган дарекке жооп берет жана кайтуу жолу маршруттоо циклиндей көрүнгөн түрдө ишке ашпайт.
Ролдорду жайгаштырылган долбоордун чыныгы интерфейстерине колдонуңуз. Эски Easy VPN жообунан көчүрүлгөн Virtual-Template үзүндүсү толук учурдагы конфигурация эмес, жана колдонулган туннел түрү шифры чечилген пакетти кайсы интерфейс аларын аныктайт.
Тышкы ташуу менен ички котормону өзүнчө кармаңыз
Шифры чечилген колдонмо булагын которуу — IKE же корголгон пакеттерди жогору жактагы NAT түзмөгү аркылуу өткөрүү менен бирдей операция эмес. Биринчиси интернет кардар сурамынын булагы катары эмнени көрөрүн өзгөртөт; экинчиси туннелди ортоңку куту аркылуу тирүү кармайт.
Экөөнү аралаштыруу эки классикалык бузулуу берет. Өзүнүн туннел ташуусун которгон маршрутизатор шерик мамилесин бузат, ал эми ички агымды эч качан которбогон маршрутизатор жеке даректерди интернетке жөнөтөт. Эрежени түзөтүүдөн мурун кайсы агымды карап жатканыңызды окуңуз жана өзгөрүүдөн кийин туннел көтөрүлүп турганын текшериңиз. Серептөөнү оңдоп, бирок туннелди кулатып салган эреже маселени чечпей, ордун жылдырган.
Эки бузулуунун экөө тең экинчисин өзгөртүү менен оңдолбойт. Эрежени түзөтүүдөн мурун кайсы агымды карап жатканыңызды окуңуз.
Эки чек арада тең текшериңиз
Интернет чек арасында колдонмо булагын, кайтуу жолунда калыбына келтирилген багытты окуңуз. Биринчиси котормо болдубу, ошону айтат; экинчиси тескери карталоо туура кардарга кайттыбы, ошону айтат.
Андан кийин бекитилген бөлүнгөн туннел жолун колдонгон кардарды сынаңыз. Ал кардар бул маршрутизатордун интернет котормосун эч качан колдонбойт, ошондуктан башкача жүрүшү керек, жана айырма трафик кайсы жол менен кеткенин ырастайт.
Эки кардар тең бирдей жүрүм-турум көрсөтсө, бөлүнгөн туннел саясаты долбоор айтканды аткарбайт. Кошумча котормо эрежелерин кошконго чейин аны оңдоңуз, анткени колдонулбаган жол үчүн жазылган эреже чыныгы маселени жашырат.