FortiGate hannert NAT: local-gw, localid an déi ëffentlech IP

E FortiGate hannert NAT kann 10.0.0.2 op senger WAN-Schnittstell besëtzen, wärend den Internet en als 198.51.100.40 duerstellt, an déi zwou Zuelen si reell. D'Adress, un déi sech den Apparat bindt, an d'Identitéit, déi en während der IKE-Authentifikatioun schéckt, si getrennte Choixen, a getrennte Felder, fir getrennt Publikum. NAT schreift d'baussen Adresséierung um Wee ëm; et schreift eng authentifizéiert Identitéit net an dat ëm, wat de wäite Peer erwaart. Déi meeschte Feeler an der Phase 1 an dëser Form kommen dohier, datt de richtege Wäert an dat falscht Feld gesat gëtt.

Dräi Wäerter, dräi Besëtzer

Fänkt domat un, déi dräi Wäerter an hire Besëtzer ze nennen. local-gw ass d'Adress, déi de FortiGate als Quell fir IKE op senger externer Schnittstell benotzt, an et muss eng Adress sinn, déi den Apparat tatsächlech huet. Den ëffentlechen Endpunkt ass d'Adress vum NAT-Apparat a gehéiert deemjenegen, deen d'Iwwersetzung mécht. D'IKE-Identitéit ass eng Zeechenketten, déi de Peer mat senger eegener Konfiguratioun vergläicht, an et muss guer keng IP-Adress sinn.

D'Feldnimm sinn no genuch beieneen, fir Auswiesslung ze proposéieren, an dat ass d'Fal. localid an localid-type beschreiwen d'Identifikatioun; local-gw beschreift d'lokal Bindung.

E Beispill mécht den Ënnerscheed konkreet. Um FortiGate, opmaacht config vpn ipsec phase1-interface, dann set interface "wan1" an set local-gw 10.0.0.2 — eng Adress, déi d'Këscht huet, an dat ass wat den IKE-Socket erfollegräich binde léisst. Loosst local-gw op 0.0.0.0 an d'Schnittstelladress gëtt benotzt, wat normalerweis datselwecht ass awer manner explizit. Setzt local-gw net op 198.51.100.40, well den Apparat déi Adress net huet an de Socket sech net do u bindt. Zwee Wäerter um Pabeier gläich ausgesinn ze loossen ass keng Konfiguratioun.

Schrëtt 1: wielt d'Identitéit, déi de Peer akzeptéiert

Elo d'Identitéit, wat eng aner Decisioun ass. set localid hëlt de Wäert, deen de Peer vergläicht, an set localid-type seet dem FortiGate, wéi en ze interpretéieren ass: eng Adress, eng FQDN, eng Benotzer-FQDN oder eng Schlëssel-ID. Mat auto leet den Apparat se of, typesch vun der Adress vun der erausgoender Schnittstell, wat genee de Wäert ass, deen en NAT-Apparat just ännere wäert.

Dës Ofleedung ass de Grond, firwat eng explizit Identitéit an dëser Topologie wichteg ass. Wann de Peer eng Adressidentitéit erwaart, setzt localid-type address an localid op déi ëffentlech Adress, déi de Peer gesäit, a bestätegt dann, datt de Peer dee Wäert als Identitéit akzeptéiert an net als Routing-Zil. Wann de Peer eng FQDN erwaart, benotzt localid-type fqdn an den Numm, mat deem se konfiguréiert gouf. Iwwerpréift mat diagnose vpn ike gateway list, wat tatsächlech geschéckt gouf; dat weist den Zoustand vum Gateway an déi benotzten Identifikatoren, net wat Dir wollt aginn. Gitt net dovun aus, datt eng Optioun vum Identitéitstyp eng arbiträr net-lokal Adress akzeptéiert; préift fir d'éischt d'dokumentéiert Semantik vun der Verëffentlechung.

Schrëtt 2: leet UDP 500 an 4500 op den Apparat weider

Den drëtte Wäert gehéiert dem NAT-Apparat, an et ass deen, deen d'Leit vergiessen ze préifen. Den ëffentlechen Endpunkt muss UDP 500 an UDP 4500 op de FortiGate weiderleeden, well d'NAT-T-Erkennung an de folgende gekapselten ESP allebéid dovun ofhänken, datt dës Porten ukommen. Dësen Design setzt eng Een-zu-Een-Zuordnung viraus; d'Deelen vun enger eenzeger ëffentlecher Adress iwwer Porten tëscht méi Peers ass eng aner Topologie mat aneren Grenzen.

Bestätegt d'Weiderleedung mat engem Opnam an net mat enger Hoffnung: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 weist, ob Pakete ukommen an ob Äntwerten erausgoen.

Google Cloud VPN dokumentéiert Een-zu-Een-NAT mat NAT-T als déi ënnerstëtzt Arrangement fir e Peer hannert NAT, an dat ass d'Limite, géint déi ze designen ass, wann de wäiten Enn e Cloud VPN-Gateway ass. Een-zu-Vill oder portbaséiert Deelen ass net déiselwecht ënnerstëtzt Topologie, an keen lokalen Identitéits-Tuning ännert dat. Wann déi wäit Säit en aneren Apparat ass, definéiert seng eege Dokumentatioun, wat en als Identitéit akzeptéiert an ob en eng iwwersaten Peer-Adress toleréiert. Liest dat, ier Dir e lokalt Feld ännert, well déi lokal Säit kann eng Regel net verhandelen, déi déi wäit Säit net ëmsetzt.

Schrëtt 3: préift, wat d'Phase 1 net léist

NAT-Traversal kritt den Tunnel erop, d'Identitéitsofstëmmung entscheet, ob de Peer en akzeptéiert, an d'Routing vum bannenzege Präfix entscheet, wat tatsächlech duerchkënnt. Eng korrekt lokal ID kann keng fehlend statesch Route oder kee fehlende Traffic-Selector liwweren.

Préift also a Schichten. get vpn ipsec tunnel details weist, ob den Tunnel steet a wéi eng Selektoren ausgehandelt goufen, an eng Ofwäichung tëscht dem konfiguréierten wäiten Subnet an dem ausgehandelte Selektor ass e Routingproblem am Phase 2-Kostüm. execute vpn ike gateway clear forcéiert eng Neiverhandlung, also testt Dir déi aktuell Konfiguratioun an net eng Sessioun, déi virun Ärer leschter Ännerung opgebaut gouf. Schéckt dann Traffic op en Host am wäite Präfix a bestätegt, datt d'Zähler sech beweegen, well en Tunnel, deen steet an näischt duerchléisst, identesch ausgesäit wéi en funktionéierenden, bis Dir nokuckt.

Hält déi dräi Wäerter op enger Plaz an Ären Notizen: d'lokal Adress, déi den Apparat huet, den ëffentlechen Endpunkt, deen den NAT-Apparat duerstellt, an d'Identitéitszeechenketten, déi de Peer erwaart. Si änneren sech aus ënnerschiddlechen Grënn an zu ënnerschiddlechen Zäiten.

Eng Neinummeréierung vum NAT-Apparat ass kee Grond, local-gw vum FortiGate unzefassen, an eng Identitéitsännerung ass kee Grond, eppes nei ze nummeréieren. Béides ze vermëschen ass de Wee, wéi en funktionéierenden Tunnel während engem onverbonnenen Ënnerhaltsfenster nei opgebaut gëtt. D'Cloud VPN NAT-Guide ass d'Referenz fir déi ënnerstëtzt Topologie op där Säit.

Den Test, deen et entscheet, ass langweileg a séier: maacht en Opnam op der externer Schnittstell, bestätegt, datt UDP 500 an 4500 vum Peer ukommen, bestätegt, datt d'Identitéit am IKE-Austausch deem entsprécht, wat de Peer konfiguréiert war ze erwaarden, a bestätegt dann, datt déi ausgehandelt Selektoren d'Subnetten ofdecken, déi Iech wichteg sinn. Wann déi éischt Prüfung feelt, ass den NAT-Apparat de Verdächtegen. Wann déi zweet feelt, sinn et d'Identitéitsfelder. Wann déi drëtt feelt, war weder NAT nach Identitéit jeemools de Problem.