Azure Site-zu-Site VPN mat engem Peer hannert NAT: Checklist

Maacht dës Prüfunge mat der Rei a stoppt bei där éischter, déi feelt. Déi meescht Berichter, datt Azure en Apparat hannert NAT net ënnerstëtzt, entpuppen sech als Peeradress, déi Azure net erreecht, oder als Tunnel, dee ni vun der richteger Säit aus ufänkt. Den baussenzegen Transport an déi bannenzeg Routing sinn zwee verschidde Problemer, an hir Vermëschung kascht en Nomëtteg. All Schrëtt hei drënner produzéiert eng Observatioun, déi Dir un eng aner Persoun kënnt weiderginn.

Schrëtt 1: bestätegt, datt de Peer iwwerhaapt hannert NAT ass

Vergläicht d’Adress op der WAN-Schnëttstell vum Apparat mat der Adress, déi Azure dofir gesäit. Wann se sech ënnerscheeden, iwwersetzt eppes, an deen Iwwersetzer ass elo Deel vun Ärem VPN-Design. Frot den Ubidder, ob d’Zouuerdnung statesch oder gedeelt ass, well eng gedeelt Zouuerdnung ännert, op wat Dir Iech verloosse kënnt. En Apparat mat enger privater WAN-Adress an ouni Viruleedung ass en anere Fall wéi ee hannert engem Carrier-Grade-NAT mat enger stabiler ëffentlecher Zouuerdnung.

Wann déi zwou Adressen iwwerenee stëmmen, stoppt hei: NAT ass net Äre Problem an de Rescht vun dëser Lëscht hëlleft net.

Notéiert déi zwou Adressen an de Modell vum Iwwersetzer am Ticket. Déi eng Linn verhënnert déi nächst Ronn Froen, firwat de konfiguréierte Peer net äntwert.

Schrëtt 2: veräinigt Iech, wien ufänkt

D’Azure VPN Gateway FAQ nennt NAT-T-Ënnerstëtzung a bäisetzt, datt den lokalen Apparat den IPsec-Tunnel soll ufänken, wann en hannert NAT sëtzt. Dat passt dozou, wéi statesch Iwwersetzung funktionéiert, well den Iwwersetzer eng Zouuerdnung hält, well den bannenzege Apparat deen éischte Pak gechickt huet. Wann erwaart gëtt, datt Azure ufänkt, an näischt kënnt, fir déi Zouuerdnung ze schafen, fänkt den Tunnel ni un.

Konfiguréiert de Peer esou, datt e Feeler vum nëmme-Äntwerer evident ass, a préift, ob den Apparat vu sech aus nach eng Kéier probéiert oder en Ausléiser brauch. Verschidde Apparater hiewen en Tunnel nëmmen, wann interessanten Trafik erschéngt, wat gutt ass, bis den interessanten Trafik eng Gesondheetsprobe ass, déi ni kënnt.

Beobachtet den IKE-Austausch um Apparat während enger manueller Initiatioun; Stille do ass eng Äntwert vum Routing oder der Firewall, net eng Äntwert vun Azure.

Schrëtt 3: kritt d’Peeradress richteg

Azure brauch eng erreechbar ëffentlech Adress fir de Peer an sengem Objet vum lokalen Netzwierkgateway, normalerweis d’ëffentlech Adress vum Iwwersetzer anstatt d’bannenzeg Adress vum Apparat. D’Identitéit, mat där sech den Apparat authentifizéiert, ass en eegene Feld a kann legitim vun der Adress ofwäichen, déi Azure uwielt. Halt déi zwou getrennt, well hire Wiessel eng Authentifikatiounsfeeler produzéiert, déi genee wéi e NAT-Problem ausgesäit.

Wann d’ëffentlech Adress sech ännert, muss sech deen Objet mat hir änneren. En Numm, deen op eng verouderte Adress opgeléist gëtt, ass schlëmmer wéi eng statesch Adress, déi Dir manuell updaten musst.

Schreift all dräi Wäerter op: lokal Adress vum Apparat, iwwersat ëffentlech Adress, konfiguréiert Peeridentitéit.

Schrëtt 4: maacht nëmmen déi Porte op, déi NAT-T brauch

NAT-T dréit ESP bannen UDP, an RFC 3948 beschreift déi Kapselung mam Port 4500, deen no der éischter Verhandlung um Port 500 benotzt gëtt. Är Firewall an den Iwwersetzer musse béid den Austausch an hire Récktrafic erlaben. En onbedeelegt TCP-Port z’erlaben beweise näischt iwwer dëse Wee, an eng Regel, déi eraus erlaabt, awer net d’Äntwert, feelt nach ëmmer.

Eng statesch Weiderleedung vun engem erakommende Port ass net automatesch néideg, wann de Peer ufänkt an den Iwwersetzer de Stat hält. Se gëtt néideg, wann d’Zouuerdnung onstabil ass oder wann eppes um Wee de Stat aggressiv ofleeft.

Huelt ee Mol op béide Säite vum Iwwersetzer mat; den Ënnerscheed an der Kapselung ass direkt ze gesinn.

Schrëtt 5: trennt den baussenzegen Transport vun der bannenzeger Routing

En Tunnel, dee sech opbaut an näischt dréit, ass e Routingproblem, keen NAT-T-Problem. D’Siten brauchen nach ëmmer kompatibel Trafikselektoren, passend Adressraim, Zougangsregelen an e Réckwee fir d’Applikatiounsnetzwierker. Nee vun deem gëtt vun engem erfollegräichen IKE-Austausch geliwwert.

Wann déi zwou Siten iwwerlappend privat Beräicher benotzen, ass d’Iwwersetzung am Tunnel en eegene Design mat sengen eegene Regelen. Numeréiert keen Subnetz nei, just well de baussenzegen Gateway zoufälleg hannert engem Heemrouter sëtzt.

Klassifizéiert de Feeler no Etapp, ier Dir eppes ännert, a behält dës Klassifikatioun am Ticket, soudatt déi nächst Persoun do ufänkt, wou Dir opgehal huet.