Кој интерфејс ја носи внатрешната, а кој надворешната NAT улога на излезот од IOS VPN

Рутерите што обезбедуваат излез на интернет преку целосен тунел вршат две работи што изгледаат како една. Тој го завршува тунелот и го проследува дешифрираниот пакет на клиентот кон интернетот. Само втората работа бара превод, и преводот мора да одговара на внатрешната струја. Таа разлика одредува кои интерфејси ги носат NAT улогите и кој опсег на адреси се појавува во правилото.

Следете еден пакет низ рутерот

Земете клиент на 10.90.0.25 што отвора јавна HTTPS услуга. Дали таа дестинација воопшто влегува во тунелот е одлука на политиката на самиот клиент. Откако ќе влезе, рутерот го дешифрира пакетот и го доставува до виртуелен интерфејс, од каде што се насочува кон јавниот нагорен линк.

Тој виртуелен интерфејс е внатрешната страна на преводот. Јавниот нагорен линк е надворешната страна. Ако улогите се обратни или отсутни, пакетот или излегува со приватно извориште, или се отфрла пред да биде преведен.

Усогласете ја политиката за превод со базенот на клиенти

NAT правилото мора да го именува опсегот што клиентите навистина го добиваат, а не канцелариската LAN што случајно го дели нагорниот линк. Правило што ја покрива само локалната подмрежа ги пропушта оддалечените клиенти дури и кога двете излегуваат низ истиот интерфејс.

ip access-list extended NAT-TUNNEL
 permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overload

Исклучоците за приватни локации чувајте ги одделно. Сообраќајот до внатрешни дестинации мора да го задржи своето оригинално извориште, инаку дестинацијата ќе одговори на адреса што не може да ја достигне и повратниот крак ќе падне на начин што личи на рутирачка јамка.

Применете ги улогите на вистинските интерфејси во распоредениот дизајн. Фрагмент од Virtual-Template прекопиран од стар одговор за Easy VPN не е целосна актуелна конфигурација, а типот на тунел што се користи одредува кој интерфејс го прима дешифрираниот пакет.

Држете ги надворешниот транспорт и внатрешниот превод одделно

Преведувањето на дешифрирано извориште на апликација не е истата операција како туркање на IKE или заштитени пакети низ NAT уред погоре. Првото го менува она што интернетот го гледа како извориште на барањето на клиентот; второто го одржува тунелот жив низ посреднички уред.

Нивното мешање создава два класични дефекти. Рутер што го преведува сопствениот тунелски транспорт ја крши врската со партнерот, додека рутер што никогаш не ја преведува внатрешната струја проследува приватни адреси кон интернетот. Прочитајте која струја ја гледате пред да уредите правило и проверете дали тунелот останал кренат по промената. Правило што го поправа прелистувањето, а го соборува тунелот, го преместило проблемот наместо да го реши.

Ниту еден дефект не се поправа со менување на другиот. Прочитајте која струја ја гледате пред да уредите правило.

Проверете на двете граници

Прочитајте го извориштето на апликацијата на интернет-границата и вратената дестинација на повратниот крак. Првото ви кажува дали се случил преводот; второто ви кажува дали обратното мапирање се вратило кај вистинскиот клиент.

Потоа тестирајте клиент што користи одобрена патека на разделен тунел. Тој клиент никогаш не го користи интернет-преводот на овој рутер, затоа треба да се однесува поинаку, и разликата потврдува која патека ја минал сообраќајот.

Ако двата клиенти се однесуваат исто, политиката на разделен тунел не го прави тоа што го вели дизајнот. Поправете го тоа пред да додадете повеќе правила за превод, бидејќи правило напишано за патека што не се користи го крие вистинскиот проблем.