„Azure“ VPN tarp svetainių su partneriu už NAT: kontrolinis sąrašas

Atlikite šiuos patikrinimus iš eilės ir sustokite ties pirmuoju, kuris nepavyksta. Dauguma pranešimų, kad „Azure“ nepalaiko įrenginio už NAT, iš tikrųjų yra partnerio adresas, kurio „Azure“ nepasiekia, arba tunelis, kuris niekada neprasideda iš teisingos pusės. Išorinis transportas ir vidinis maršrutizavimas yra dvi skirtingos problemos, o jų maišymas kainuoja popietę. Kiekvienas žingsnis žemiau pateikia stebėjimą, kurį galite perduoti kitam žmogui.

1 žingsnis: patvirtinkite, kad partneris iš tikrųjų yra už NAT

Palyginkite įrenginio WAN sąsajos adresą su adresu, kurį „Azure“ mato jam. Jei jie skiriasi, kažkas verčia, ir tas vertėjas dabar yra jūsų VPN dizaino dalis. Paklauskite tiekėjo, ar susiejimas yra statinis, ar bendras, nes bendras susiejimas keičia tai, kuo galite pasikliauti. Įrenginys su privačiu WAN adresu ir be persiuntimo yra kitas atvejis nei įrenginys už operatoriaus lygio NAT su stabiliu viešu susiejimu.

Jei abu adresai sutampa, sustokite čia: NAT nėra jūsų problema, o likusi šio sąrašo dalis nepadės.

Užrašykite abu adresus ir vertėjo modelį biliete. Ta viena eilutė apsaugo nuo kito klausimų rato, kodėl sukonfigūruotas partneris neatsako.

2 žingsnis: susitarkite, kas inicijuoja

„Azure VPN Gateway“ DUK nurodo NAT-T palaikymą ir priduria, kad vietinis įrenginys turėtų inicijuoti IPsec tunelį, kai yra už NAT. Tai atitinka tai, kaip veikia būsenos vertimas, nes vertėjas laiko susiejimą todėl, kad vidinis įrenginys išsiuntė pirmąjį paketą. Jei tikimasi, kad inicijuos „Azure“, o niekas neateina to susiejimo sukurti, tunelis niekada neprasideda.

Sukonfigūruokite partnerį taip, kad tik-atsakiklio klaida būtų akivaizdi, ir patikrinkite, ar įrenginys pats bando iš naujo, ar jam reikia trigerio. Kai kurie įrenginiai tunelį pakelia tik tada, kai atsiranda įdomaus srauto, ir tai gerai tol, kol įdomus srautas nėra sveikatos patikra, kuri niekada neateina.

Stebėkite IKE apsikeitimą įrenginyje rankinio paleidimo metu; tyla ten yra maršrutizavimo arba užkardos atsakymas, o ne „Azure“ atsakymas.

3 žingsnis: teisingai nustatykite partnerio adresą

„Azure“ reikia pasiekiamo viešo adreso partneriui jo vietinio tinklo šliuzo objekte, paprastai vertėjo viešo adreso, o ne vidinio įrenginio adreso. Tapatybė, kuria įrenginys autentifikuojasi, yra atskiras laukas ir gali teisėtai skirtis nuo adreso, į kurį „Azure“ skambina. Laikykite juos atskirai, nes sukeitus gaunama autentifikavimo klaida, kuri atrodo lygiai kaip NAT problema.

Jei viešas adresas pasikeičia, tas objektas turi pasikeisti kartu. Vardas, kuris sprendžiamas į pasenusį adresą, yra blogiau nei statinis adresas, kurį turite atnaujinti rankiniu būdu.

Užrašykite visas tris reikšmes: vietinį įrenginio adresą, išverstą viešą adresą ir sukonfigūruotą partnerio tapatybę.

4 žingsnis: atidarykite tik tuos prievadus, kurių reikia NAT-T

NAT-T perduoda ESP UDP viduje, o RFC 3948 aprašo tą inkapsuliavimą su 4500 prievadu, naudojamu po pradinių derybų 500 prievade. Jūsų užkarda ir vertėjas abu turi leisti apsikeitimą ir jo grįžtamąjį srautą. Leidimas nesusijusiam TCP prievadui nieko neįrodo apie šį kelią, o taisyklė, leidžianti išeinantį srautą, bet ne atsakymą, vis tiek nepavyks.

Statinis įeinančio prievado persiuntimas nebūtinai reikalingas, kai partneris inicijuoja ir vertėjas laiko būseną. Jis tampa būtinas, kai susiejimas nestabilus arba kai kažkas kelyje agresyviai pabaigia būseną.

Užfiksuokite vieną kartą abiejose vertėjo pusėse; inkapsuliavimo skirtumas iškart matomas.

5 žingsnis: atskirkite išorinį transportą nuo vidinio maršrutizavimo

Tunelis, kuris nusistovi ir nieko neperduoda, yra maršrutizavimo problema, o ne NAT-T problema. Svetainėms vis dar reikia suderinamų srauto selektorių, atitinkančių adresų erdvių, prieigos taisyklių ir grįžtamojo kelio programų tinklams. Nieko to nepateikia sėkmingas IKE apsikeitimas.

Jei abi svetainės naudoja persidengiančius privačius diapazonus, vertimas tunelio viduje yra atskiras dizainas su savo taisyklėmis. Nepernumeruokite potinklio tik todėl, kad išorinis šliuzas atsitiktinai yra už namų maršrutizatoriaus.

Prieš ką nors keisdami, klasifikuokite gedimą pagal etapą ir palikite tą klasifikaciją biliete, kad kitas žmogus pradėtų ten, kur jūs sustojote.