NAT-ന് പിന്നിലെ FortiGate: local-gw, localid, പൊതു IP

NAT-ന് പിന്നിലുള്ള ഒരു FortiGate-ന് അതിന്റെ WAN ഇന്റർഫേസിൽ 10.0.0.2 ഉണ്ടാകാം, അതേസമയം ഇന്റർനെറ്റ് അതിനെ 198.51.100.40 എന്ന് കാണിക്കുന്നു, രണ്ട് സംഖ്യകളും യഥാർത്ഥമാണ്. ഉപകരണം ബന്ധിപ്പിക്കുന്ന വിലാസവും IKE പ്രാമാണീകരണത്തിൽ അയയ്ക്കുന്ന ഐഡന്റിറ്റിയും വേറിട്ട തീരുമാനങ്ങളാണ്, വേറിട്ട ഫീൽഡുകളിൽ, വേറിട്ട പ്രേക്ഷകർക്കായി എടുക്കുന്നത്. NAT കടന്നുപോകുമ്പോൾ പുറം വിലാസം മാറ്റിയെഴുതുന്നു; പ്രാമാണീകരിച്ച ഐഡന്റിറ്റിയെ ദൂരെയുള്ള പിയർ പ്രതീക്ഷിക്കുന്നതിലേക്ക് മാറ്റിയെഴുതുന്നില്ല. ഈ രൂപത്തിലെ മിക്ക ഫേസ് 1 പരാജയങ്ങളും ശരിയായ മൂല്യം തെറ്റായ ഫീൽഡിൽ ഇടുന്നതിൽ നിന്നാണ് വരുന്നത്.

മൂന്ന് മൂല്യങ്ങൾ, മൂന്ന് ഉടമകൾ

മൂന്ന് മൂല്യങ്ങളും ഓരോന്നിന്റെ ഉടമയും പേരിട്ട് തുടങ്ങുക. local-gw FortiGate അതിന്റെ ബാഹ്യ ഇന്റർഫേസിൽ IKE-യുടെ ഉറവിടമായി ഉപയോഗിക്കുന്ന വിലാസമാണ്, അത് ഉപകരണത്തിന് യഥാർത്ഥത്തിൽ ഉള്ള വിലാസമായിരിക്കണം. പൊതു എൻഡ്പോയിന്റ് NAT ഉപകരണത്തിന്റെ വിലാസമാണ്, വിവർത്തനം ചെയ്യുന്നവർക്ക് സ്വന്തമാണ്. IKE ഐഡന്റിറ്റി പിയർ സ്വന്തം കോൺഫിഗറേഷനുമായി താരതമ്യപ്പെടുത്തുന്ന ഒരു സ്ട്രിംഗാണ്, അത് IP വിലാസമായിരിക്കണമെന്ന് നിർബന്ധമില്ല.

ഫീൽഡ് പേരുകൾ പകരം വയ്ക്കാൻ ക്ഷണിക്കുന്നത്ര അടുത്താണ്, അതാണ് കെണി. localid കൂടാതെ localid-type തിരിച്ചറിയലിനെ വിവരിക്കുന്നു; local-gw പ്രാദേശിക ബന്ധനത്തെ വിവരിക്കുന്നു.

ഒരു ഉദാഹരണം വ്യത്യാസം വ്യക്തമാക്കുന്നു. FortiGate-ൽ config vpn ipsec phase1-interface തുറക്കുക, തുടർന്ന് set interface "wan1" കൂടാതെ set local-gw 10.0.0.2 — ബോക്സിന് ഉള്ള വിലാസം, അതാണ് IKE സോക്കറ്റ് വിജയകരമായി ബന്ധിപ്പിക്കാൻ കാരണം. local-gw 0.0.0.0 എന്നതിൽ വിട്ടാൽ ഇന്റർഫേസ് വിലാസം ഉപയോഗിക്കപ്പെടും, സാധാരണയായി അതേ കാര്യം തന്നെയെങ്കിലും വ്യക്തത കുറവാണ്. local-gw 198.51.100.40 എന്നതിൽ സെറ്റ് ചെയ്യരുത്, കാരണം ഉപകരണത്തിന് ആ വിലാസമില്ല, സോക്കറ്റ് അതിലേക്ക് ബന്ധിക്കില്ല. രണ്ട് മൂല്യങ്ങളെ കടലാസിൽ തുല്യമായി കാണിക്കുന്നത് കോൺഫിഗറേഷനല്ല.

ഘട്ടം 1: പിയർ സ്വീകരിക്കുന്ന ഐഡന്റിറ്റി തിരഞ്ഞെടുക്കുക

ഇപ്പോൾ ഐഡന്റിറ്റി, അത് മറ്റൊരു തീരുമാനമാണ്. set localid പിയർ താരതമ്യപ്പെടുത്തുന്ന മൂല്യം എടുക്കുന്നു, set localid-type FortiGate-നോട് അത് എങ്ങനെ വ്യാഖ്യാനിക്കണമെന്ന് പറയുന്നു: ഒരു വിലാസം, FQDN, ഉപയോക്തൃ FQDN അല്ലെങ്കിൽ കീ ID. auto ഉപയോഗിച്ച് ഉപകരണം അത് ഉരുത്തിരിച്ചെടുക്കുന്നു, സാധാരണയായി പുറത്തേക്കുള്ള ഇന്റർഫേസിന്റെ വിലാസത്തിൽ നിന്ന്, അത് NAT ഉപകരണം മാറ്റാൻ പോകുന്ന മൂല്യം തന്നെയാണ്.

ഈ ഉരുത്തിരിവാണ് ഈ ടോപ്പോളജിയിൽ വ്യക്തമായ ഐഡന്റിറ്റി പ്രധാനമാകാനുള്ള കാരണം. പിയർ വിലാസ ഐഡന്റിറ്റി പ്രതീക്ഷിക്കുന്നുവെങ്കിൽ, localid-type address കൂടാതെ localid പിയർ കാണുന്ന പൊതു വിലാസത്തിൽ സെറ്റ് ചെയ്യുക, തുടർന്ന് പിയർ ആ മൂല്യത്തെ റൂട്ടിംഗ് ലക്ഷ്യമായല്ല, ഐഡന്റിറ്റിയായി സ്വീകരിക്കുന്നുവെന്ന് ഉറപ്പാക്കുക. പിയർ FQDN പ്രതീക്ഷിക്കുന്നുവെങ്കിൽ, localid-type fqdn കൂടാതെ അത് കോൺഫിഗർ ചെയ്ത പേര് ഉപയോഗിക്കുക. യഥാർത്ഥത്തിൽ എന്താണ് അയച്ചതെന്ന് diagnose vpn ike gateway list ഉപയോഗിച്ച് പരിശോധിക്കുക, അത് ഗേറ്റ്വേയുടെ അവസ്ഥയും ഉപയോഗത്തിലുള്ള ഐഡന്റിഫയറുകളും കാണിക്കുന്നു, നിങ്ങൾ ടൈപ്പ് ചെയ്യാൻ ഉദ്ദേശിച്ചതല്ല. ഐഡന്റിറ്റി തരം ഓപ്ഷൻ ഏതെങ്കിലും പ്രാദേശികമല്ലാത്ത വിലാസം സ്വീകരിക്കുമെന്ന് കരുതരുത്; ആദ്യം റിലീസിന്റെ രേഖപ്പെടുത്തിയ അർത്ഥശാസ്ത്രം പരിശോധിക്കുക.

ഘട്ടം 2: UDP 500, 4500 എന്നിവ ഉപകരണത്തിലേക്ക് ഫോർവേഡ് ചെയ്യുക

മൂന്നാമത്തെ മൂല്യം NAT ഉപകരണത്തിന്റേതാണ്, ആളുകൾ പരിശോധിക്കാൻ മറക്കുന്നത് അതാണ്. പൊതു എൻഡ്പോയിന്റ് UDP 500, UDP 4500 എന്നിവ FortiGate-ലേക്ക് ഫോർവേഡ് ചെയ്യണം, കാരണം NAT-T കണ്ടെത്തലും തുടർന്നുള്ള എൻക്യാപ്സുലേറ്റഡ് ESP-യും രണ്ടും ആ പോർട്ടുകൾ എത്തുന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു. ഈ രൂപകൽപ്പന ഒന്ന്-ഒന്ന് മാപ്പിംഗ് അനുമാനിക്കുന്നു; ഒരു പൊതു വിലാസം നിരവധി പിയർമാർക്കിടയിൽ പോർട്ട് അടിസ്ഥാനമാക്കി പങ്കിടുന്നത് വ്യത്യസ്ത പരിധികളുള്ള വ്യത്യസ്ത ടോപ്പോളജിയാണ്.

ഫോർവേഡിംഗ് ഒരു ക്യാപ്ചർ ഉപയോഗിച്ച് ഉറപ്പാക്കുക, പ്രതീക്ഷയാൽ അല്ല: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 പാക്കറ്റുകൾ വരുന്നുണ്ടോ, മറുപടികൾ പോകുന്നുണ്ടോ എന്ന് കാണിക്കുന്നു.

Google Cloud VPN, NAT-ന് പിന്നിലുള്ള പിയറിന് പിന്തുണയ്ക്കുന്ന ക്രമീകരണമായി NAT-T-യോടുകൂടിയ ഒന്ന്-ഒന്ന് NAT രേഖപ്പെടുത്തുന്നു, ദൂരെയുള്ള അറ്റം Cloud VPN ഗേറ്റ്വേ ആണെങ്കിൽ ഈ പരിധി കണക്കിലെടുത്ത് രൂപകൽപ്പന ചെയ്യണം. ഒന്ന്-പലതിലേക്കോ പോർട്ട് അടിസ്ഥാനമാക്കിയോ ഉള്ള പങ്കിടൽ അതേ പിന്തുണയ്ക്കുന്ന ടോപ്പോളജിയല്ല, പ്രാദേശിക ഐഡന്റിറ്റി ട്യൂണിംഗ് അത് മാറ്റില്ല. ദൂരെയുള്ള വശം മറ്റൊരു ഉപകരണമാണെങ്കിൽ, അതിന്റെ സ്വന്തം ഡോക്യുമെന്റേഷൻ ഐഡന്റിറ്റിയായി എന്ത് സ്വീകരിക്കുമെന്നും വിവർത്തനം ചെയ്ത പിയർ വിലാസം സഹിക്കുമോ എന്നും നിർവചിക്കുന്നു. പ്രാദേശിക ഫീൽഡ് മാറ്റുന്നതിന് മുമ്പ് അത് വായിക്കുക, കാരണം ദൂരെയുള്ള വശം നടപ്പാക്കാത്ത ഒരു നിയമം പ്രാദേശിക വശത്തിന് ചർച്ച ചെയ്യാനാവില്ല.

ഘട്ടം 3: ഫേസ് 1 എന്ത് പരിഹരിക്കുന്നില്ലെന്ന് പരിശോധിക്കുക

NAT ട്രാവേഴ്സൽ ടണൽ ഉയർത്തുന്നു, ഐഡന്റിറ്റി യോജിപ്പ് പിയർ അത് സ്വീകരിക്കുമോ എന്ന് തീരുമാനിക്കുന്നു, ആന്തരിക പ്രിഫിക്സ് റൂട്ടിംഗ് യഥാർത്ഥത്തിൽ എന്ത് കടന്നുപോകുന്നു എന്ന് തീരുമാനിക്കുന്നു. ശരിയായ പ്രാദേശിക ID-ക്ക് നഷ്ടമായ സ്റ്റാറ്റിക് റൂട്ടോ നഷ്ടമായ ട്രാഫിക് സെലക്ടറോ നൽകാനാവില്ല.

അതിനാൽ പാളികളായി പരിശോധിക്കുക. get vpn ipsec tunnel details ടണൽ ഉയർന്നിട്ടുണ്ടോ, ഏത് സെലക്ടറുകളാണ് ചർച്ച ചെയ്തതെന്ന് കാണിക്കുന്നു, കോൺഫിഗർ ചെയ്ത ദൂരെയുള്ള സബ്നെറ്റും ചർച്ച ചെയ്ത സെലക്ടറും തമ്മിലുള്ള പൊരുത്തക്കേട് ഫേസ് 2 വേഷത്തിലുള്ള റൂട്ടിംഗ് പ്രശ്നമാണ്. execute vpn ike gateway clear വീണ്ടും ചർച്ച ചെയ്യാൻ നിർബന്ധിക്കുന്നു, അതിനാൽ നിങ്ങൾ നിലവിലെ കോൺഫിഗറേഷൻ പരിശോധിക്കുന്നു, നിങ്ങളുടെ അവസാന മാറ്റത്തിന് മുമ്പ് സ്ഥാപിച്ച സെഷനല്ല. തുടർന്ന് ദൂരെയുള്ള പ്രിഫിക്സിലെ ഒരു ഹോസ്റ്റിലേക്ക് ട്രാഫിക് അയച്ച് കൗണ്ടറുകൾ നീങ്ങുന്നുവെന്ന് ഉറപ്പാക്കുക, കാരണം ഉയർന്നിരിക്കുന്നതും ഒന്നും കടത്തിവിടാത്തതുമായ ടണൽ പരിശോധിക്കുന്നതുവരെ പ്രവർത്തിക്കുന്ന ഒന്നിനെപ്പോലെ തന്നെ കാണപ്പെടുന്നു.

മൂന്ന് മൂല്യങ്ങളും നിങ്ങളുടെ കുറിപ്പുകളിൽ ഒരിടത്ത് സൂക്ഷിക്കുക: ഉപകരണത്തിനുള്ള പ്രാദേശിക വിലാസം, NAT ഉപകരണം അവതരിപ്പിക്കുന്ന പൊതു എൻഡ്പോയിന്റ്, പിയർ പ്രതീക്ഷിക്കുന്ന ഐഡന്റിറ്റി സ്ട്രിംഗ്. അവ വ്യത്യസ്ത കാരണങ്ങളാൽ വ്യത്യസ്ത സമയങ്ങളിൽ മാറുന്നു.

NAT ഉപകരണം പുനർനമ്പർ ചെയ്യുന്നത് FortiGate-ന്റെ local-gw തൊടാനുള്ള കാരണമല്ല, ഐഡന്റിറ്റി മാറ്റം എന്തെങ്കിലും പുനർനമ്പർ ചെയ്യാനുള്ള കാരണവുമല്ല. രണ്ടും കൂട്ടിക്കലർത്തുന്നതാണ് പ്രവർത്തിക്കുന്ന ടണൽ ബന്ധമില്ലാത്ത അറ്റകുറ്റപ്പണി വിൻഡോയിൽ പുനർനിർമ്മിക്കുന്ന രീതി. Cloud VPN NAT മാർഗ്ഗനിർദ്ദേശം ആ വശത്തെ പിന്തുണയ്ക്കുന്ന ടോപ്പോളജിക്കുള്ള റഫറൻസാണ്.

ഇത് തീരുമാനിക്കുന്ന പരീക്ഷണം വിരസവും വേഗതയേറിയതുമാണ്: ബാഹ്യ ഇന്റർഫേസിൽ ക്യാപ്ചർ ചെയ്യുക, പിയറിൽ നിന്ന് UDP 500, 4500 എന്നിവ വരുന്നുവെന്ന് ഉറപ്പാക്കുക, IKE കൈമാറ്റത്തിലെ ഐഡന്റിറ്റി പിയർ പ്രതീക്ഷിക്കാൻ കോൺഫിഗർ ചെയ്തതുമായി യോജിക്കുന്നുവെന്ന് ഉറപ്പാക്കുക, തുടർന്ന് ചർച്ച ചെയ്ത സെലക്ടറുകൾ നിങ്ങൾക്ക് പ്രധാനമായ സബ്നെറ്റുകൾ ഉൾക്കൊള്ളുന്നുവെന്ന് ഉറപ്പാക്കുക. ആദ്യ പരിശോധന പരാജയപ്പെട്ടാൽ, സംശയിക്കുന്നത് NAT ഉപകരണമാണ്. രണ്ടാമത്തേത് പരാജയപ്പെട്ടാൽ, ഐഡന്റിറ്റി ഫീൽഡുകളാണ്. മൂന്നാമത്തേത് പരാജയപ്പെട്ടാൽ, NAT-ഉം ഐഡന്റിറ്റിയും ഒരിക്കലും പ്രശ്നമായിരുന്നില്ല.