Wéi eng Interface kritt d'NAT-Innen- an d'NAT-Aussenroll op engem IOS-VPN-Ausgang

Routeren, déi en Internet-Ausgang mat vollem Tunnel ubidden, maachen zwou Aufgabe mat engem Ausgesinn. Si beenden den Tunnel a schécken de entschlësselte Client-Paket an den Internet. Nëmmen déi zweet Aufgab brauch eng Iwwersetzung, an d'Iwwersetzung muss zum banneschte Floss passen. Dës Ënnerscheedung entscheet, wéi eng Interface d'NAT-Rollen droen a wéi ee Adressberäich an der Regel erschéngt.

Verfollegt ee Paket duerch de Router

Huelt e Client op 10.90.0.25, deen en ëffentlechen HTTPS-Déngscht opmaacht. Ob dës Destinatioun iwwerhaapt an den Tunnel kënnt, ass eng Entscheedung vun der Politik vum Client selwer. Wann se dra kënnt, entschlësselt de Router de Paket a liwwert en un eng virtuell Interface, vun wou en op den ëffentlechen Uplink gerout gëtt.

Déi virtuell Interface ass déi bannenzeg Säit vun der Iwwersetzung. Den ëffentlechen Uplink ass déi baussenzeg Säit. Wann d'Rolle verdreint oder feelen, verléisst de Paket mat enger privater Quell oder gëtt verworfen, ier en iwwersat gëtt.

Passt d'Iwwersetzungspolitik un de Client-Pool un

D'NAT-Regel muss de Beräich nennen, deen d'Cliente tatsächlech kréien, net de Büro-LAN, deen zoufälleg deeselwechten Uplink deelt. Eng Regel, déi nëmmen dat lokal Subnetz deckt, verpasst d'Clienten aus der Distanz, och wann déi zwee duerch déiselwecht Interface erausginn.

ip access-list extended NAT-TUNNEL
 permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overload

Halt d'Ausname fir privat Säiten getrennt. Verkehr zu bannenzege Destinatiounen muss seng ursprénglech Quell behalen, soss äntwert d'Destinatioun op eng Adress, déi se net erreeche kann, an de Réckwee fällt op eng Manéier aus, déi wéi eng Routing-Schleef ausgesäit.

Wend d'Rollen op déi tatsächlech Interface am agesate Design un. E Virtual-Template-Fragment, deen aus enger aler Easy VPN-Antwert kopéiert gouf, ass keng komplett aktuell Konfiguratioun, an den Tunneltyp, dee benotzt gëtt, bestëmmt, wéi eng Interface de entschlësselte Paket kritt.

Halt baussenzege Transport a bannenzeg Iwwersetzung getrennt

Eng entschlësselt Applikatiounsquell iwwersetzen ass net déi selwecht Operatioun wéi IKE- oder geschützte Paketen duerch en NAT-Apparat méi uewen ze drécken. Déi éischt ännert, wat den Internet als Quell vun der Client-Ufro gesäit; déi zweet hält en Tunnel duerch eng Zwëschenbox lieweg.

Se verwiesselen produzéiert zwou klassescht Feeler. E Router, deen säin eegene Tunneltransport iwwersetzt, brécht d'Peer-Verhältnis, wärend e Router, deen de banneschten Floss ni iwwersetzt, privat Adressen an den Internet weiderleet. Liest, wéi ee Floss dir kuckt, ier dir eng Regel ännert, a kontrolléiert, ob den Tunnel no der Ännerung uewen bliwwen ass. Eng Regel, déi d'Browsen reparéiert, awer den Tunnel fale léisst, huet de Problem verréckelt amplaz en ze léisen.

Kee vun de béide Feeler gëtt behuewen, andeems een den aneren ännert. Liest, wéi ee Floss dir kuckt, ier dir eng Regel ännert.

Iwwerpréift op béide Grenzen

Liest d'Applikatiounsquell op der Internetgrenz, an d'Restauréiert Destinatioun um Réckwee. Déi éischt seet, ob d'Iwwersetzung geschitt ass; déi zweet seet, ob d'Ëmkéiermapping beim richtegen Client ukomm ass.

Test dann e Client, deen en approuvéierte Split-Tunnel-Wee benotzt. Dee Client benotzt ni d'Internet-Iwwersetzung vun dësem Router, also sollt en sech anescht behuelen, an den Ënnerscheed bestätegt, wéi ee Wee den Traffic geholl huet.

Wann béid Cliente sech gläich behuelen, mécht d'Split-Tunnel-Politik net dat, wat den Design seet. Behuet dat, ier dir weider Iwwersetzungsregele bäifügt, well eng Regel, déi fir en onbenotzte Wee geschriwwe gouf, de richtege Problem verstoppt.