IOS VPN എക്സിറ്റിൽ NAT-ന്റെ അകത്തെയും പുറത്തെയും റോൾ ഏത് ഇന്റർഫേസിന് ലഭിക്കും
ഡീക്രിപ്റ്റ് ചെയ്ത ക്ലയന്റ് പാക്കറ്റ് വിർച്വൽ ഇന്റർഫേസിൽ നിന്ന് അപ്ലിങ്ക് വരെ പിന്തുടരുക. വിവർത്തനം ഈ അകത്തെ ഫ്ലോയിലാണ്, ടണലിന്റെ പുറത്തെ ട്രാൻസ്പോർട്ടിലല്ല.
പൂർണ്ണ ടണൽ ഇന്റർനെറ്റ് എക്സിറ്റ് നൽകുന്ന റൗട്ടറുകൾ ഒന്നായി തോന്നുന്ന രണ്ട് ജോലികൾ ചെയ്യുന്നു. അത് ടണൽ അവസാനിപ്പിക്കുന്നു, ഡീക്രിപ്റ്റ് ചെയ്ത ക്ലയന്റ് പാക്കറ്റ് ഇന്റർനെറ്റിലേക്ക് കൈമാറുന്നു. രണ്ടാമത്തെ ജോലിക്ക് മാത്രമാണ് വിവർത്തനം ആവശ്യം, വിവർത്തനം അകത്തെ ഫ്ലോയുമായി പൊരുത്തപ്പെടണം. ആ വ്യത്യാസമാണ് ഏത് ഇന്റർഫേസുകൾ NAT റോളുകൾ വഹിക്കുന്നു, ഏത് വിലാസ പരിധി നിയമത്തിൽ വരുന്നു എന്ന് തീരുമാനിക്കുന്നത്.
ഒരു പാക്കറ്റ് റൗട്ടറിലൂടെ പിന്തുടരുക
10.90.0.25 എന്ന വിലാസത്തിലുള്ള ഒരു ക്ലയന്റ് പൊതു HTTPS സേവനം തുറക്കുന്നു എന്ന് കരുതുക. ആ ലക്ഷ്യസ്ഥാനം ടണലിൽ പ്രവേശിക്കുന്നുണ്ടോ എന്നത് ക്ലയന്റിന്റെ സ്വന്തം പോളിസി തീരുമാനമാണ്. പ്രവേശിച്ചാൽ റൗട്ടർ പാക്കറ്റ് ഡീക്രിപ്റ്റ് ചെയ്ത് ഒരു വിർച്വൽ ഇന്റർഫേസിലേക്ക് എത്തിക്കുന്നു, അവിടെ നിന്ന് അത് പൊതു അപ്ലിങ്കിലേക്ക് റൂട്ട് ചെയ്യപ്പെടുന്നു.
ആ വിർച്വൽ ഇന്റർഫേസാണ് വിവർത്തനത്തിന്റെ അകം. പൊതു അപ്ലിങ്കാണ് പുറം. റോളുകൾ തലതിരിഞ്ഞതോ ഇല്ലാത്തതോ ആണെങ്കിൽ പാക്കറ്റ് സ്വകാര്യ ഉറവിടത്തോടെ പുറത്തുപോകുന്നു, അല്ലെങ്കിൽ വിവർത്തനത്തിന് മുമ്പ് ഉപേക്ഷിക്കപ്പെടുന്നു.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
വിവർത്തന പോളിസി ക്ലയന്റ് പൂളുമായി പൊരുത്തപ്പെടുത്തുക
NAT നിയമം ക്ലയന്റുകൾക്ക് യഥാർത്ഥത്തിൽ ലഭിക്കുന്ന പരിധി പേരിടണം, അപ്ലിങ്ക് യാദൃച്ഛികമായി പങ്കിടുന്ന ഓഫീസ് LAN അല്ല. പ്രാദേശിക സബ്നെറ്റ് മാത്രം ഉൾക്കൊള്ളുന്ന നിയമം, രണ്ടും ഒരേ ഇന്റർഫേസിലൂടെ പുറത്തുപോകുമ്പോഴും ദൂരസ്ഥ ക്ലയന്റുകളെ വിട്ടുപോകുന്നു.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadസ്വകാര്യ സൈറ്റ് ഒഴിവുകൾ വെവ്വേറെ സൂക്ഷിക്കുക. ആന്തരിക ലക്ഷ്യസ്ഥാനങ്ങളിലേക്കുള്ള ട്രാഫിക് അതിന്റെ യഥാർത്ഥ ഉറവിടം നിലനിർത്തണം, അല്ലാത്തപക്ഷം ലക്ഷ്യസ്ഥാനം അതിന് എത്താൻ കഴിയാത്ത വിലാസത്തിലേക്ക് മറുപടി നൽകും, തിരിച്ചുള്ള ഭാഗം റൂട്ടിംഗ് ലൂപ്പ് പോലെ തോന്നിക്കുന്ന രീതിയിൽ പരാജയപ്പെടും.
വിന്യസിച്ച രൂപകൽപ്പനയിലെ യഥാർത്ഥ ഇന്റർഫേസുകളിൽ റോളുകൾ പ്രയോഗിക്കുക. പഴയ Easy VPN ഉത്തരത്തിൽ നിന്ന് പകർത്തിയ Virtual-Template ശകലം പൂർണ്ണമായ നിലവിലെ കോൺഫിഗറേഷനല്ല, ഉപയോഗിക്കുന്ന ടണൽ തരം ഏത് ഇന്റർഫേസ് ഡീക്രിപ്റ്റ് ചെയ്ത പാക്കറ്റ് സ്വീകരിക്കുന്നു എന്ന് നിർണ്ണയിക്കുന്നു.
പുറം ട്രാൻസ്പോർട്ടും അക വിവർത്തനവും വേർതിരിക്കുക
ഡീക്രിപ്റ്റ് ചെയ്ത ആപ്ലിക്കേഷൻ ഉറവിടം വിവർത്തനം ചെയ്യുന്നത്, IKE അല്ലെങ്കിൽ സംരക്ഷിത പാക്കറ്റുകൾ മുകളിലെ NAT ഉപകരണത്തിലൂടെ തള്ളുന്നതിന് തുല്യമായ പ്രവർത്തനമല്ല. ആദ്യത്തേത് ഇന്റർനെറ്റ് ക്ലയന്റിന്റെ അഭ്യർത്ഥനയുടെ ഉറവിടമായി കാണുന്നത് മാറ്റുന്നു; രണ്ടാമത്തേത് ഒരു മിഡിൽബോക്സിലൂടെ ടണൽ ജീവനോടെ നിലനിർത്തുന്നു.
അവ തമ്മിൽ കലർത്തിയാൽ രണ്ട് ക്ലാസിക് പരാജയങ്ങൾ ഉണ്ടാകുന്നു. സ്വന്തം ടണൽ ട്രാൻസ്പോർട്ട് വിവർത്തനം ചെയ്യുന്ന റൗട്ടർ പിയർ ബന്ധം തകർക്കുന്നു, അകത്തെ ഫ്ലോ ഒരിക്കലും വിവർത്തനം ചെയ്യാത്ത റൗട്ടർ സ്വകാര്യ വിലാസങ്ങൾ ഇന്റർനെറ്റിലേക്ക് കൈമാറുന്നു. ഒരു നിയമം തിരുത്തുന്നതിന് മുമ്പ് നിങ്ങൾ ഏത് ഫ്ലോ നോക്കുന്നു എന്ന് വായിക്കുക, മാറ്റത്തിന് ശേഷം ടണൽ ഉയർന്നു നിന്നോ എന്ന് പരിശോധിക്കുക. ബ്രൗസിംഗ് ശരിയാക്കി ടണൽ വീഴ്ത്തുന്ന നിയമം പ്രശ്നം പരിഹരിക്കുന്നതിന് പകരം അത് മാറ്റിയിട്ടുണ്ട്.
ഒരു പരാജയവും മറ്റൊന്ന് മാറ്റുന്നതിലൂടെ പരിഹരിക്കപ്പെടുന്നില്ല. ഒരു നിയമം തിരുത്തുന്നതിന് മുമ്പ് നിങ്ങൾ ഏത് ഫ്ലോ നോക്കുന്നു എന്ന് വായിക്കുക.
രണ്ട് അതിർത്തികളിലും പരിശോധിക്കുക
ഇന്റർനെറ്റ് അതിർത്തിയിൽ ആപ്ലിക്കേഷൻ ഉറവിടവും, തിരിച്ചുള്ള ഭാഗത്ത് പുനഃസ്ഥാപിച്ച ലക്ഷ്യസ്ഥാനവും വായിക്കുക. ആദ്യത്തേത് വിവർത്തനം നടന്നോ എന്ന് പറയുന്നു; രണ്ടാമത്തേത് റിവേഴ്സ് മാപ്പിംഗ് ശരിയായ ക്ലയന്റിലേക്ക് തിരിച്ചെത്തിയോ എന്ന് പറയുന്നു.
തുടർന്ന് അംഗീകരിച്ച സ്പ്ലിറ്റ്-ടണൽ പാത ഉപയോഗിക്കുന്ന ഒരു ക്ലയന്റ് പരീക്ഷിക്കുക. ആ ക്ലയന്റ് ഈ റൗട്ടറിന്റെ ഇന്റർനെറ്റ് വിവർത്തനം ഒരിക്കലും ഉപയോഗിക്കുന്നില്ല, അതിനാൽ അത് വ്യത്യസ്തമായി പെരുമാറണം, വ്യത്യാസം ട്രാഫിക് ഏത് പാതയിലൂടെ പോയി എന്ന് സ്ഥിരീകരിക്കുന്നു.
രണ്ട് ക്ലയന്റുകളും ഒരേപോലെ പെരുമാറുന്നുവെങ്കിൽ, സ്പ്ലിറ്റ്-ടണൽ പോളിസി രൂപകൽപ്പന പറയുന്നത് ചെയ്യുന്നില്ല. കൂടുതൽ വിവർത്തന നിയമങ്ങൾ ചേർക്കുന്നതിന് മുമ്പ് അത് ശരിയാക്കുക, കാരണം ഉപയോഗത്തിലില്ലാത്ത പാതയ്ക്കായി എഴുതിയ നിയമം യഥാർത്ഥ പ്രശ്നം മറയ്ക്കുന്നു.