Azure VPN starp vietnēm ar partneri aiz NAT: kontrolsaraksts

Veiciet šīs pārbaudes pēc kārtas un apstājieties pie pirmās, kas neizdodas. Lielākā daļa ziņojumu, ka Azure neatbalsta ierīci aiz NAT, patiesībā izrādās partnera adrese, kurai Azure nevar piekļūt, vai tunelis, kas nekad nesākas no pareizās puses. Ārējais transports un iekšējā maršrutēšana ir divas dažādas problēmas, un to sajaukšana izšķiež pēcpusdienu. Katrs solis zemāk dod novērojumu, ko varat nodot kādam citam.

1. solis: pārliecinieties, ka partneris vispār ir aiz NAT

Salīdziniet adresi ierīces WAN saskarnē ar adresi, ko Azure tai redz. Ja tās atšķiras, kaut kas tulko, un šis tulkotājs tagad ir jūsu VPN dizaina daļa. Pajautājiet pakalpojumu sniedzējam, vai kartējums ir statisks vai koplietots, jo koplietots kartējums maina to, uz ko varat paļauties. Ierīce ar privātu WAN adresi un bez pāradresācijas ir cits gadījums nekā ierīce aiz operatora līmeņa NAT ar stabilu publisku kartējumu.

Ja abas adreses sakrīt, apstājieties šeit: NAT nav jūsu problēma, un pārējais saraksts nepalīdzēs.

Ierakstiet abas adreses un tulkotāja modeli biļetē. Šī viena rinda novērš nākamo jautājumu kārtu par to, kāpēc konfigurētais partneris neatbild.

2. solis: vienojieties, kas ierosina

Azure VPN Gateway BUJ norāda NAT-T atbalstu un piebilst, ka vietējai ierīcei jāierosina IPsec tunelis, ja tā atrodas aiz NAT. Tas atbilst tam, kā darbojas stāvokļa tulkošana, jo tulkotājs uztur kartējumu tāpēc, ka iekšējā ierīce nosūtīja pirmo paketi. Ja tiek gaidīts, ka ierosinās Azure, un nekas neierodas, lai izveidotu šo kartējumu, tunelis nekad nesākas.

Konfigurējiet partneri tā, lai tikai atbildētāja kļūda būtu acīmredzama, un pārbaudiet, vai ierīce mēģina atkārtoti pati vai tai vajag trigeri. Dažas ierīces tuneli paceļ tikai tad, kad parādās interesants trafiks, kas ir labi, līdz interesantais trafiks izrādās veselības pārbaude, kas nekad nenāk.

Novērojiet IKE apmaiņu ierīcē manuālas ierosināšanas laikā; klusums tur ir maršrutēšanas vai ugunsmūra atbilde, nevis Azure atbilde.

3. solis: pareizi iestatiet partnera adresi

Azure ir vajadzīga sasniedzama publiska adrese partnerim tā vietējā tīkla vārtejas objektā, parasti tulkotāja publiskā adrese, nevis ierīces iekšējā adrese. Identitāte, ar kuru ierīce autentificējas, ir atsevišķs lauks un var likumīgi atšķirties no adreses, uz kuru Azure zvana. Turiet abus atsevišķi, jo to apmaiņa rada autentifikācijas kļūdu, kas izskatās tieši kā NAT problēma.

Ja publiskā adrese mainās, šim objektam ir jāmainās kopā ar to. Vārds, kas atrisinās uz novecojušu adresi, ir sliktāks par statisku adresi, kas jāatjaunina ar roku.

Pierakstiet visas trīs vērtības: ierīces vietējo adresi, tulkoto publisko adresi un konfigurēto partnera identitāti.

4. solis: atveriet tikai tos portus, kas NAT-T nepieciešami

NAT-T pārnēsā ESP UDP iekšienē, un RFC 3948 apraksta šo iekapsulējumu ar portu 4500, kas tiek izmantots pēc sākotnējām sarunām portā 500. Jūsu ugunsmūrim un tulkotājam abiem jāatļauj apmaiņa un tās atgriešanās trafiks. Nesaistīta TCP porta atļaušana neko nepierāda par šo ceļu, un noteikums, kas atļauj izejošo, bet ne atbildi, joprojām neizdosies.

Statiska ienākošā porta pāradresācija nav automātiski nepieciešama, kad partneris ierosina un tulkotājs uztur stāvokli. Tā kļūst nepieciešama, kad kartējums ir nestabils vai kad kaut kas ceļā agresīvi izbeidz stāvokli.

Uzņemiet vienu reizi abās tulkotāja pusēs; iekapsulējuma atšķirība ir uzreiz redzama.

5. solis: atdaliet ārējo transportu no iekšējās maršrutēšanas

Tunelis, kas izveidojas un neko nepārnēsā, ir maršrutēšanas problēma, nevis NAT-T problēma. Vietnēm joprojām vajag saderīgus trafika atlasītājus, atbilstošas adrešu telpas, piekļuves noteikumus un atgriešanās ceļu lietojumprogrammu tīkliem. Neko no tā nenodrošina veiksmīga IKE apmaiņa.

Ja abas vietnes izmanto pārklājošus privātos diapazonus, tulkošana tuneļa iekšienē ir atsevišķs dizains ar saviem noteikumiem. Nepārnumurējiet apakštīklu tikai tāpēc, ka ārējā vārteja nejauši atrodas aiz mājas maršrutētāja.

Pirms kaut ko maināt, klasificējiet kļūmi pēc posma un saglabājiet šo klasifikāciju biļetē, lai nākamais cilvēks sāktu tur, kur jūs apstājāties.