Azure сайт хоорондын VPN ба NAT-ын ард байгаа пэр: шалгах хуудас

Эдгээр шалгалтыг дарааллаар нь хийж, эхний бүтэлгүйтсэн дээр зогсоно. Azure NAT-ын ард байгаа төхөөрөмжийг дэмждэггүй гэсэн мэдээллийн ихэнх нь үнэндээ Azure хүрч чадахгүй пэрийн хаяг эсвэл зөв талаас хэзээ ч эхэлдэггүй туннель болдог. Гадаад тээвэр ба дотоод маршрутлалт нь хоёр өөр асуудал бөгөөд тэдгээрийг хольсон нь хагас өдрийг үрдэг. Доорх алхам бүр өөр хүнд дамжуулж болох ажиглалтыг өгдөг.

1-р алхам: пэр үнэхээр NAT-ын ард байгаа эсэхийг батална

Төхөөрөмжийн WAN интерфейс дээрх хаягийг Azure түүнд зориулж хардаг хаягтай харьцуулна. Хэрэв өөр бол ямар нэг зүйл орчуулж байна, тэр орчуулагч одоо таны VPN дизайны нэг хэсэг болсон. Үйлчилгээ үзүүлэгчээс буулгалт нь статик эсвэл хуваалцсан эсэхийг асуу, учир нь хуваалцсан буулгалт таны найдвартай зүйлийг өөрчилдөг. Хувийн WAN хаягтай, дамжуулалтгүй төхөөрөмж нь тогтвортой нийтийн буулгалттай операторын түвшний NAT-ын ард байгаа төхөөрөмжөөс өөр тохиолдол.

Хоёр хаяг таарвал энд зогсо: NAT таны асуудал биш бөгөөд энэ жагсаалтын үлдсэн хэсэг туслахгүй.

Хоёр хаяг болон орчуулагчийн загварыг тасалбарт бич. Тэр нэг мөр нь тохируулсан пэр яагаад хариу өгөхгүй байгаа тухай дараагийн асуултын шатыг сэргийлнэ.

2-р алхам: хэн эхлүүлэхийг тохиролцоно

Azure VPN Gateway-ийн түгээмэл асуулт хариулт нь NAT-T дэмжлэгийг дурдаж, локал төхөөрөмж NAT-ын ард байгаа үед IPsec туннелийг түүнээс эхлүүлэх ёстой гэж нэмдэг. Энэ нь төлөвтэй орчуулга хэрхэн ажилладагтай нийцдэг, учир нь дотоод төхөөрөмж эхний пакетийг илгээсэн учраас орчуулагч буулгалтыг хадгалдаг. Хэрэв Azure эхлүүлнэ гэж хүлээж, тэр буулгалтыг үүсгэх зүйл ирэхгүй бол туннель хэзээ ч эхлэхгүй.

Пэрийг зөвхөн-хариулагчийн алдаа тод харагдахаар тохируулж, төхөөрөмж өөрөө дахин оролддог эсвэл триггер хэрэгтэй эсэхийг шалга. Зарим төхөөрөмж сонирхолтой урсгал гарч ирэхэд л туннель босгодог бөгөөд сонирхолтой урсгал хэзээ ч ирдэггүй эрүүл мэндийн шалгалт болох хүртэл энэ нь зөв.

Гараар эхлүүлэх үед төхөөрөмж дээрх IKE солилцоог ажигла; тэндхийн чимээгүй байдал нь маршрутлалт эсвэл галт ханын хариулт, Azure-ийн хариулт биш.

3-р алхам: пэрийн хаягийг зөв тавина

Azure-д өөрийн локал сүлжээний гарцын объектод пэрт зориулж хүрч болох нийтийн хаяг хэрэгтэй, ихэвчлэн төхөөрөмжийн дотоод хаяг биш орчуулагчийн нийтийн хаяг. Төхөөрөмжийн баталгаажуулдаг таних мэдээлэл нь тусдаа талбар бөгөөд Azure залгах хаягаас хууль ёсоор ялгаатай байж болно. Хоёулыг тусдаа байлга, учир нь тэдгээрийг сольсон нь NAT-ын асуудалтай яг адил харагдах баталгаажуулалтын алдаа үүсгэдэг.

Нийтийн хаяг өөрчлөгдвөл тэр объект мөн хамт өөрчлөгдөх ёстой. Хуучирсан хаяг руу шийдэгддэг нэр нь гараар шинэчлэх шаардлагатай статик хаягаас дор.

Гурван утгыг бүгдийг нь бич: төхөөрөмжийн локал хаяг, орчуулсан нийтийн хаяг, тохируулсан пэрийн таних мэдээлэл.

4-р алхам: NAT-T-д хэрэгтэй портуудыг л нээ

NAT-T нь ESP-г UDP дотор зөөдөг бөгөөд RFC 3948 нь 500 порт дээрх анхны хэлэлцээрийн дараа ашиглагдах 4500 порттой тэр капсулчлалыг тодорхойлдог. Таны галт хана болон орчуулагч хоёулаа солилцоо болон түүний буцах урсгалыг зөвшөөрөх ёстой. Хамааралгүй TCP портыг зөвшөөрөх нь энэ замын талаар юу ч батлахгүй, гадагш гарахыг зөвшөөрч хариуг зөвшөөрөхгүй дүрэм ч бас бүтэлгүйтнэ.

Пэр эхлүүлж, орчуулагч төлөв хадгалж байгаа үед орж ирэх портын статик дамжуулалт автоматаар шаардлагагүй. Энэ нь буулгалт тогтворгүй үед эсвэл зам дээр ямар нэг зүйл төлөвийг түрэмгийгээр дуусгахад шаардлагатай болно.

Орчуулагчийн хоёр талд нэг удаа бичлэг хий; капсулчлалын ялгаа шууд харагдана.

5-р алхам: гадаад тээврийг дотоод маршрутлалтаас салга

Бүрдэж, юу ч зөөдөггүй туннель нь маршрутлалтын асуудал, NAT-T-ийн асуудал биш. Сайтуудад тохирох урсгалын сонгогч, таарсан хаягийн орон зай, хандалтын дүрэм, аппликейшн сүлжээнд буцах зам хэрэгтэй хэвээр. Эдгээрийн аль нэгийг ч амжилттай IKE солилцоо өгдөггүй.

Хоёр сайт давхцсан хувийн муж ашигладаг бол туннель доторх орчуулга нь өөрийн дүрэмтэй тусдаа дизайн. Гадаад гарц санамсаргүйгээр гэрийн чиглүүлэгчийн ард байгаа учраас дэд сүлжээг дахин дугаарлаж болохгүй.

Ямар нэг зүйлийг өөрчлөхийн өмнө алдааг үе шатаар нь ангилж, тэр ангиллыг тасалбарт үлдээ, ингэснээр дараагийн хүн таны зогссон газраас эхэлнэ.