IOS VPN-ийн гаралт дээр NAT-ын дотор, гадна үүргийг аль интерфэйс авах вэ
Дешифрлэсэн клиентийн пакетыг виртуал интерфэйсээс дээд холбоос хүртэл дага. Орчуулга нь энэ дотоод урсгалд хамаарах бөгөөд туннелийн гадаад тээвэрт хамаарахгүй.
Бүрэн туннелийн интернэт гаралт үзүүлдэг чиглүүлэгчид нэг мэт харагдах хоёр ажлыг гүйцэтгэдэг. Тэрээр туннелийг дуусгаад, дешифрлэсэн клиентийн пакетыг интернэт рүү дамжуулдаг. Зөвхөн хоёр дахь ажилд орчуулга хэрэгтэй бөгөөд орчуулга нь дотоод урсгалтай тохирох ёстой. Энэ ялгаа нь аль интерфэйс NAT-ын үүргийг хүлээх, дүрэмд ямар хаягийн муж гарч ирэхийг тодорхойлдог.
Нэг пакетыг чиглүүлэгчээр дага
Нийтийн HTTPS үйлчилгээ нээж буй 10.90.0.25 хаягтай клиентийг ав. Тухайн очих газар туннельд орж байгаа эсэх нь клиентийн өөрийн бодлогын шийдвэр. Орсны дараа чиглүүлэгч пакетыг дешифрлээд виртуал интерфэйсэд хүргэдэг бөгөөд тэндээс нийтийн дээд холбоос руу чиглүүлэгддэг.
Тэр виртуал интерфэйс бол орчуулгын дотор тал. Нийтийн дээд холбоос бол гадна тал. Хэрэв үүргүүд эсрэг эсвэл дутуу байвал пакет хувийн эх сурвалжтай гарна, эсвэл орчуулагдахаас өмнө хаягдана.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Орчуулгын бодлогыг клиентийн бүлэгтэй тохируул
NAT дүрэм нь клиентүүд бодитоор авдаг мужийг заах ёстой, дээд холбоосыг санамсаргүй хуваалцдаг оффисын LAN-ыг биш. Зөвхөн орон нутгийн дэд сүлжээг хамарсан дүрэм нь хоёулаа нэг интерфэйсээр гарсан ч алслагдсан клиентүүдийг алдана.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadХувийн сайтын үл хамаарах зүйлсийг тусад нь байлга. Дотоод очих газар руу чиглэсэн урсгал анхны эх сурвалжаа хадгалах ёстой, эс бөгөөс очих газар нь хүрэх боломжгүй хаяг руу хариу өгч, буцах хэсэг нь чиглүүлэлтийн гогцоо мэт бүтэлгүйтнэ.
Үүргүүдийг байршуулсан загварын бодит интерфэйсүүдэд хэрэглэ. Хуучин Easy VPN хариултаас хуулсан Virtual-Template фрагмент нь бүрэн актуал тохиргоо биш бөгөөд ашиглаж буй туннелийн төрөл нь дешифрлэсэн пакетыг аль интерфэйс хүлээж авахыг тодорхойлдог.
Гадаад тээвэр ба дотоод орчуулгыг тусгаарла
Дешифрлэсэн аппликейшны эх сурвалжийг орчуулах нь IKE эсвэл хамгаалагдсан пакетыг дээш NAT төхөөрөмжөөр нэвтрүүлэхтэй ижил үйлдэл биш. Эхнийх нь интернэт клиентийн хүсэлтийн эх сурвалж гэж юуг харахыг өөрчилдөг; хоёр дахь нь туннелийг завсрын төхөөрөмжөөр дамжуулан амьд байлгадаг.
Тэдгээрийг андуурвал хоёр сонгодог эвдрэл үүсдэг. Өөрийн туннелийн тээврийг орчуулдаг чиглүүлэгч хамтрагчийн харилцааг эвддэг бол дотоод урсгыг хэзээ ч орчуулдаггүй чиглүүлэгч хувийн хаягуудыг интернэт рүү дамжуулдаг. Дүрэм засахынхаа өмнө аль урсгыг харж байгаагаа уншиж, өөрчлөлтийн дараа туннель босоо хэвээр байсан эсэхийг шалга. Веб үзэлтийг засаж, туннелийг унагасан дүрэм нь асуудлыг шийдэхгүйгээр зөөсөн юм.
Аль ч эвдрэл нөгөөг нь өөрчлөхөд засагдахгүй. Дүрэм засахынхаа өмнө аль урсгыг харж байгаагаа унш.
Хоёр хил дээр шалга
Интернэтийн хил дээр аппликейшны эх сурвалжийг, буцах хэсэгт сэргээгдсэн очих газрыг унш. Эхнийх нь орчуулга болсон эсэхийг хэлнэ; хоёр дахь нь урвуу зураглал зөв клиент руу буцаж ирсэн эсэхийг хэлнэ.
Дараа нь зөвшөөрөгдсөн хуваагдсан туннелийн зам ашигладаг клиентийг турш. Тэр клиент энэ чиглүүлэгчийн интернэт орчуулгыг хэзээ ч ашигладаггүй тул өөрөөр ажиллах ёстой бөгөөд ялгаа нь урсгал аль замаар явсныг батална.
Хоёр клиент ижил ажиллаж байвал хуваагдсан туннелийн бодлого загварт заасан зүйлийг хийхгүй байна. Илүү олон орчуулгын дүрэм нэмэхээс өмнө үүнийг засаж, учир нь ашиглагдаагүй замд зориулж бичсэн дүрэм бодит асуудлыг нуудаг.