FortiGate aiz NAT: local-gw, localid un publiskā IP

FortiGate aiz NAT var piederēt 10.0.0.2 tā WAN saskarnē, kamēr internets to parāda kā 198.51.100.40, un abi skaitļi ir reāli. Adrese, pie kuras ierīce piesaistās, un identitāte, ko tā sūta IKE autentifikācijas laikā, ir atsevišķas izvēles, izdarītas atsevišķos laukos, atsevišķai auditorijai. NAT pārraksta ārējo adresāciju ceļā; tas nepārraksta autentificētu identitāti tajā, ko gaida attālais peer. Lielākā daļa 1. fāzes kļūmju šajā formā rodas, ievietojot pareizo vērtību nepareizajā laukā.

Trīs vērtības, trīs īpašnieki

Sāciet ar trīs vērtību un to īpašnieku nosaukšanu. local-gw ir adrese, ko FortiGate izmanto kā IKE avotu ārējā saskarnē, un tai jābūt adresei, kas ierīcei patiešām ir. Publiskais galapunkts ir NAT ierīces adrese, un tas pieder tam, kurš veic tulkošanu. IKE identitāte ir virkne, ko peer salīdzina ar savu konfigurāciju, un tai nav jābūt IP adresei.

Lauku nosaukumi ir pietiekami tuvi, lai aicinātu aizstāt, un tā ir slazds. localid un localid-type apraksta identifikāciju; local-gw apraksta lokālo saistīšanu.

Piemērs padara atšķirību konkrētu. FortiGate atveriet config vpn ipsec phase1-interface, pēc tam set interface "wan1" un set local-gw 10.0.0.2 — adrese, kas pieder kastei, un tas ir tas, kas ļauj IKE ligzdai veiksmīgi piesaistīties. Atstājiet local-gw uz 0.0.0.0 un tiek izmantota saskarnes adrese, kas parasti ir tas pats, bet mazāk skaidri. Neiestatiet local-gw uz 198.51.100.40, jo ierīcei šī adrese nepieder un ligzda tai nepiesaistīsies. Divu vērtību padarīšana vienādām uz papīra nav konfigurācija.

1. solis: izvēlieties identitāti, ko peer pieņems

Tagad identitāte, kas ir cits lēmums. set localid ņem vērtību, ko peer salīdzinās, un set localid-type pasaka FortiGate, kā to interpretēt: adrese, FQDN, lietotāja FQDN vai atslēgas ID. Ar auto ierīce to atvasina, parasti no izejošās saskarnes adreses, kas ir tieši tā vērtība, ko NAT ierīce gatavojas mainīt.

Tieši šī atvasināšana ir iemesls, kāpēc šajā topoloģijā ir svarīga skaidra identitāte. Ja peer gaida adreses identitāti, iestatiet localid-type address un localid uz publisko adresi, ko peer redzēs, pēc tam apstipriniet, ka peer pieņem šo vērtību kā identitāti, nevis kā maršrutēšanas mērķi. Ja peer gaida FQDN, izmantojiet localid-type fqdn un nosaukumu, ar kuru tas tika konfigurēts. Pārbaudiet, kas faktiski tika nosūtīts, ar diagnose vpn ike gateway list, kas parāda vārtejas stāvokli un izmantotos identifikatorus, nevis to, ko jūs bijāt nodomājis ievadīt. Nepieņemiet, ka identitātes tipa opcija pieņem patvaļīgu ne-lokālu adresi; vispirms pārbaudiet laidiena dokumentēto semantiku.

2. solis: pārsūtiet UDP 500 un 4500 uz ierīci

Trešā vērtība pieder NAT ierīcei, un tā ir tā, kuru cilvēki aizmirst pārbaudīt. Publiskajam galapunktam ir jāpārsūta UDP 500 un UDP 4500 uz FortiGate, jo NAT-T noteikšana un tai sekojošais iekapsulētais ESP abi ir atkarīgi no šo portu ierašanās. Šis dizains pieņem viens-pret-vienu kartējumu; vienas publiskās adreses koplietošana pa portiem starp vairākiem peer ir cita topoloģija ar citiem ierobežojumiem.

Apstipriniet pārsūtīšanu ar uztveršanu, nevis ar cerību: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 parāda, vai paketes ierodas un vai atbildes iziet.

Google Cloud VPN dokumentē viens-pret-vienu NAT ar NAT-T kā atbalstīto izkārtojumu peer aiz NAT, un tas ir ierobežojums, pret kuru jāprojektē, ja tālais gals ir Cloud VPN vārteja. Viens-pret-daudziem vai pa portiem koplietošana nav tā pati atbalstītā topoloģija, un nekāda lokālā identitātes regulēšana to nemaina. Ja tālā puse ir cita ierīce, tās pašas dokumentācija nosaka, ko tā pieņems kā identitāti un vai tā pieļauj tulkotu peer adresi. Izlasiet to pirms lokālā lauka maiņas, jo lokālā puse nevar vienoties par noteikumu, ko tālā puse neievieš.

3. solis: pārbaudiet, ko 1. fāze neatrisina

NAT šķērsošana paceļ tuneli, identitātes vienošanās izlemj, vai peer to pieņems, un iekšējā prefiksa maršrutēšana izlemj, kas faktiski iet cauri. Pareizs lokālais ID nevar nodrošināt trūkstošu statisko maršrutu vai trūkstošu trafika selektoru.

Tāpēc pārbaudiet pa slāņiem. get vpn ipsec tunnel details parāda, vai tunelis ir augšā un kuri selektori tika saskaņoti, un neatbilstība starp konfigurēto tālo apakštīklu un saskaņoto selektoru ir maršrutēšanas problēma 2. fāzes kostīmā. execute vpn ike gateway clear piespiež atkārtoti vienoties, tāpēc jūs pārbaudāt pašreizējo konfigurāciju, nevis sesiju, kas izveidota pirms jūsu pēdējās izmaiņas. Pēc tam nosūtiet trafiku uz resursdatoru tālajā prefiksā un apstipriniet, ka skaitītāji kustas, jo tunelis, kas ir augšā un neko nelaiž cauri, izskatās identiski kā strādājošs, līdz jūs pārbaudāt.

Turiet trīs vērtības vienā vietā savos pierakstos: lokālo adresi, kas pieder ierīcei, publisko galapunktu, ko uzrāda NAT ierīce, un identitātes virkni, ko gaida peer. Tās mainās dažādu iemeslu dēļ un dažādos laikos.

NAT ierīces pārnumurēšana nav iemesls aiztikt FortiGate local-gw lauku, un identitātes maiņa nav iemesls pārnumurēt kaut ko. Abu sajaukšana ir veids, kā strādājošs tunelis tiek pārbūvēts nesaistītā apkopes logā. Cloud VPN NAT vadlīnijas ir atsauce uz atbalstīto topoloģiju tajā pusē.

Tests, kas to izšķir, ir garlaicīgs un ātrs: uzņemiet ārējā saskarnē, apstipriniet, ka UDP 500 un 4500 nāk no peer, apstipriniet, ka identitāte IKE apmaiņā atbilst tam, ko peer bija konfigurēts gaidīt, pēc tam apstipriniet, ka saskaņotie selektori aptver apakštīklus, kas jums svarīgi. Ja pirmais pārbaudījums neizdodas, aizdomās turamais ir NAT ierīce. Ja otrais, tad identitātes lauki. Ja trešais, tad ne NAT, ne identitāte nekad nav bijusi problēma.