Kura saskarne IOS VPN izejā pilda NAT iekšējo un ārējo lomu
Izsekojiet atšifrēto klienta paketi no virtuālās saskarnes līdz augšupielādes līnijai. Tulkošana attiecas uz šo iekšējo plūsmu, nevis uz tuneļa ārējo transportu.
Maršrutētāji, kas nodrošina pilna tuneļa interneta izeju, veic divus darbus, kas izskatās kā viens. Tas pārtrauc tuneli un pārsūta atšifrēto klienta paketi uz internetu. Tulkošana nepieciešama tikai otrajam darbam, un tai jāatbilst iekšējai plūsmai. Šī atšķirība nosaka, kurām saskarnēm ir NAT lomas un kāds adrešu diapazons parādās noteikumā.
Izsekojiet vienu paketi caur maršrutētāju
Ņemiet klientu ar adresi 10.90.0.25, kas atver publisku HTTPS pakalpojumu. Vai šis galamērķis vispār nonāk tunelī, ir paša klienta politikas lēmums. Kad tas notiek, maršrutētājs atšifrē paketi un nogādā to virtuālajai saskarnei, no kurienes tā tiek maršrutēta uz publisko augšupielādes līniju.
Šī virtuālā saskarne ir tulkošanas iekšpuse. Publiskā augšupielādes līnija ir ārpuse. Ja lomas ir apgrieztas vai trūkst, pakete vai nu iziet ar privātu avotu, vai tiek atmesta pirms tulkošanas.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Saskaņojiet tulkošanas politiku ar klientu kopu
NAT noteikumā jānorāda diapazons, ko klienti faktiski saņem, nevis biroja LAN, kas gadās kopā ar augšupielādes līniju. Noteikums, kas aptver tikai vietējo apakštīklu, palaiž garām attālos klientus pat tad, ja abi iziet caur vienu un to pašu saskarni.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadPrivāto vietņu izņēmumus turiet atsevišķi. Satiksmei uz iekšējiem galamērķiem jāsaglabā savs sākotnējais avots, citādi galamērķis atbildēs uz adresi, kuru tas nevar sasniegt, un atgriešanās posms neizdosies tā, ka izskatīsies pēc maršrutēšanas cilpas.
Piešķiriet lomas reālajām saskarnēm izvietotajā projektā. Virtual-Template fragments, kas nokopēts no vecas Easy VPN atbildes, nav pilnīga pašreizējā konfigurācija, un izmantotais tuneļa veids nosaka, kura saskarne saņem atšifrēto paketi.
Turiet ārējo transportu un iekšējo tulkošanu atsevišķi
Atšifrēta lietojumprogrammas avota tulkošana nav tas pats, kas IKE vai aizsargātu paketi virzīšana caur NAT ierīci augšpusē. Pirmā maina to, ko internets redz kā klienta pieprasījuma avotu; otrā uztur tuneli dzīvu caur starpierīci.
Tos sajaucot, rodas divas klasiskas kļūdas. Maršrutētājs, kas tulko savu paša tuneļa transportu, salauž vienādranga attiecības, bet maršrutētājs, kas nekad netulko iekšējo plūsmu, pārsūta privātas adreses uz internetu. Pirms rediģējat noteikumu, izlasiet, kuru plūsmu skatāties, un pārbaudiet, vai tunelis pēc izmaiņām palika uzcelts. Noteikums, kas salabo pārlūkošanu, bet nomet tuneli, ir pārvietojis problēmu, nevis to atrisinājis.
Neviena kļūda netiek novērsta, mainot otru. Pirms rediģējat noteikumu, izlasiet, kuru plūsmu skatāties.
Pārbaudiet abās robežās
Nolasiet lietojumprogrammas avotu interneta robežā un atjaunoto galamērķi atgriešanās posmā. Pirmais parāda, vai tulkošana notika; otrais parāda, vai apgrieztā kartēšana atgriezās pie pareizā klienta.
Pēc tam pārbaudiet klientu, kas izmanto apstiprinātu sadalītā tuneļa ceļu. Šis klients nekad neizmanto šī maršrutētāja interneta tulkošanu, tāpēc tam vajadzētu uzvesties citādi, un atšķirība apstiprina, pa kuru ceļu satiksme gāja.
Ja abi klienti uzvedas vienādi, sadalītā tuneļa politika nedara to, ko saka projekts. Izlabojiet to pirms vairāk tulkošanas noteikumu pievienošanas, jo noteikums, kas rakstīts neizmantotam ceļam, slēpj īsto problēmu.