NAT-ын ард байгаа FortiGate: local-gw, localid болон нийтийн IP

NAT-ын ард байгаа FortiGate өөрийн WAN интерфейс дээр 10.0.0.2 хаягтай байж болох бөгөөд интернет үүнийг 198.51.100.40 гэж харуулдаг ба хоёр тоо хоёулаа бодит юм. Төхөөрөмжийн холбогдох хаяг болон IKE баталгаажуулалтын үеэр илгээдэг таних тэмдэг нь тусдаа шийдвэрүүд бөгөөд тусдаа талбаруудад, тусдаа үзэгчдэд зориулан гаргадаг. NAT замд гадаад хаягийг дахин бичдэг ч баталгаажсан таних тэмдгийг алслагдсан хамтрагчийн хүлээж буй утга руу дахин бичдэггүй. Энэ хэлбэрийн 1-р фазын алдааны ихэнх нь зөв утгыг буруу талбарт хийснээс үүдэлтэй.

Гурван утга, гурван эзэн

Гурван утга болон тус бүрийн эзнийг нэрлэж эхэл. local-gw нь FortiGate гадаад интерфейс дээр IKE-ийн эх сурвалж болгон ашигладаг хаяг бөгөөд төхөөрөмж үнэхээр эзэмшдэг хаяг байх ёстой. Нийтийн төгсгөлийн цэг нь NAT төхөөрөмжийн хаяг бөгөөд хөрвүүлэлт хийдэг талд хамаарна. IKE таних тэмдэг нь хамтрагч өөрийн тохиргоотой харьцуулдаг тэмдэгт мөр бөгөөд IP хаяг байх шаардлагагүй.

Талбарын нэрс хангалттай ойрхон тул орлуулахыг урьж байна, энэ л урхи. localid ба localid-type нь танихыг тодорхойлдог; local-gw нь локал холболтыг тодорхойлдог.

Жишээ ялгааг тодорхой болгоно. FortiGate дээр config vpn ipsec phase1-interface нээгээд дараа нь set interface "wan1" ба set local-gw 10.0.0.2 тохируулна. Энэ нь хайрцагны эзэмшдэг хаяг бөгөөд IKE сокетыг амжилттай холбох боломжийг олгодог. local-gw утгыг 0.0.0.0 дээр үлдээвэл интерфейсийн хаяг ашиглагдана, энэ нь ихэвчлэн ижил зүйл боловч бага тодорхой. local-gw утгыг 198.51.100.40 хаяг руу бүү тавь, учир нь төхөөрөмж тэр хаягийг эзэмшдэггүй бөгөөд сокет түүн рүү холбогдохгүй. Хоёр утгыг цаасан дээр ижил харагдуулах нь тохиргоо биш.

Алхам 1: хамтрагчийн хүлээн авах таних тэмдгийг сонго

Одоо таних тэмдэг, энэ нь өөр шийдвэр. set localid нь хамтрагч харьцуулах утгыг авч, set localid-type нь FortiGate-д үүнийг хэрхэн тайлбарлахыг хэлнэ: хаяг, FQDN, хэрэглэгчийн FQDN эсвэл түлхүүрийн ID. auto үед төхөөрөмж үүнийг гаргаж авдаг, ихэвчлэн гарч буй интерфейсийн хаягаас, энэ нь NAT төхөөрөмжийн өөрчлөх гэж буй утга юм.

Энэ гаргалгаа нь энэ топологид тодорхой таних тэмдэг яагаад чухал болохыг тайлбарлана. Хэрэв хамтрагч хаягийн таних тэмдэг хүлээж байвал localid-type address ба localid утгыг хамтрагчийн харах нийтийн хаяг руу тохируулаад, дараа нь хамтрагч тэр утгыг чиглүүлэлтийн зорилго биш, таних тэмдэг болгон хүлээн авч байгааг батал. Хэрэв хамтрагч FQDN хүлээж байвал localid-type fqdn ба тохируулсан нэрийг ашигла. Бодитоор юу илгээгдсэнийг diagnose vpn ike gateway list ашиглан шалга, энэ нь гарцын төлөв болон ашиглагдаж буй танигчийг харуулдаг, таны бичих гэж байсан зүйлийг биш. Таних тэмдгийн төрлийн сонголт дурын локал бус хаягийг хүлээн авдаг гэж бүү бод, эхлээд хувилбарын баримтжуулсан утга санааг шалга.

Алхам 2: UDP 500 ба 4500-г төхөөрөмж рүү дамжуул

Гурав дахь утга нь NAT төхөөрөмжид хамаарах бөгөөд хүмүүс шалгахаа мартдаг нь тэр. Нийтийн төгсгөлийн цэг нь UDP 500 ба UDP 4500-г FortiGate рүү дамжуулах ёстой, учир нь NAT-T илрүүлэлт болон дараагийн инкапсуллагдсан ESP хоёулаа эдгээр портын ирэхээс хамаарна. Энэ загвар нэг-нэг харгалзахыг урьдчилсан нөхцөл болгодог; нэг нийтийн хаягийг хэд хэдэн хамтрагчийн хооронд портоор хуваалцах нь өөр хязгаартай өөр топологи юм.

Дамжуулалтыг найдвараар бус, барилтаар батал: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 пакетууд ирж байгаа эсэх, хариултууд гарч байгаа эсэхийг харуулна.

Google Cloud VPN нь NAT-ын ард байгаа хамтрагчид дэмжигддэг зохицуулалт болгон NAT-T-тэй нэг-нэг NAT-ыг баримтжуулдаг бөгөөд алслагдсан төгсгөл Cloud VPN гарц бол энэ хязгаарт нийцүүлэн зохион бүтээх хэрэгтэй. Нэг-олон эсвэл портоор хуваалцах нь мөн дэмжигддэг топологи биш бөгөөд локал таних тэмдгийн ямар ч тохируулга үүнийг өөрчлөхгүй. Хэрэв алслагдсан тал өөр төхөөрөмж бол түүний өөрийн баримт бичиг таних тэмдэг болгон юу хүлээн авах, хөрвүүлсэн хамтрагчийн хаягийг тэвчих эсэхийг тодорхойлно. Локал талбар өөрчлөхөөс өмнө үүнийг унш, учир нь локал тал алслагдсан талын хэрэгжүүлдэггүй дүрмийг хэлэлцэж чадахгүй.

Алхам 3: 1-р фаз юу шийдэхгүйг шалга

NAT-ыг дайрах нь туннелийг өргөдөг, таних тэмдгийн зохицол нь хамтрагч хүлээн авах эсэхийг шийддэг, дотоод префиксийн чиглүүлэлт нь бодитоор юу нэвтрэхийг шийддэг. Зөв локал ID нь дутуу статик маршрут эсвэл дутуу трафикийн сонгогчийг өгч чадахгүй.

Тиймээс давхаргаар шалга. get vpn ipsec tunnel details туннель өргөгдсөн эсэх, ямар сонгогчид хэлэлцэгдсэнийг харуулдаг бөгөөд тохируулсан алслагдсан дэд сүлжээ болон хэлэлцсэн сонгогчийн зөрүү нь 2-р фазын хувцастай чиглүүлэлтийн асуудал юм. execute vpn ike gateway clear дахин хэлэлцэхийг албаддаг тул та одоогийн тохиргоог шалгаж байна, сүүлийн өөрчлөлтөөс өмнө үүссэн сессийг биш. Дараа нь алслагдсан префикс дэх хост руу трафик илгээж, тоолуурууд хөдөлж байгааг батал, учир нь өргөгдсөн боловч юу ч нэвтрүүлдэггүй туннель шалгах хүртэл ажиллаж байгаатай адил харагдана.

Гурван утгыг тэмдэглэлдээ нэг газар хадгал: төхөөрөмжийн эзэмшдэг локал хаяг, NAT төхөөрөмжийн толилуулж буй нийтийн төгсгөлийн цэг, хамтрагчийн хүлээж буй таних тэмдгийн мөр. Тэдгээр нь өөр шалтгаанаар, өөр цагт өөрчлөгддөг.

NAT төхөөрөмжийг дахин дугаарлах нь FortiGate-ийн local-gw талбарт хүрэх шалтгаан биш, таних тэмдэг өөрчлөх нь ямар нэг зүйлийг дахин дугаарлах шалтгаан биш. Хоёулыг холих нь ажиллаж байгаа туннелийг холбоогүй засварын цонхонд дахин барих арга юм. Cloud VPN-ийн NAT гарын авлага нь тухайн талын дэмжигддэг топологийн лавлагаа юм.

Үүнийг шийдэх тест уйтгартай бөгөөд хурдан: гадаад интерфейс дээр барилт хий, хамтрагчаас UDP 500 ба 4500 ирж байгааг батал, IKE солилцооны таних тэмдэг хамтрагчийн хүлээхээр тохируулсантай таарч байгааг батал, дараа нь хэлэлцсэн сонгогчид танд чухал дэд сүлжээг хамарч байгааг батал. Эхний шалгалт бүтэлгүйтвэл сэжиглэгдэх нь NAT төхөөрөмж. Хоёр дахь нь бүтэлгүйтвэл таних тэмдгийн талбарууд. Гурав дахь нь бүтэлгүйтвэл NAT ч, таних тэмдэг ч хэзээ ч асуудал байгаагүй.