Antara muka mana yang memegang peranan NAT dalam dan luar pada keluaran VPN IOS

Penghala yang menyediakan exit internet terowong penuh melakukan dua kerja yang kelihatan seperti satu. Ia menamatkan terowong, dan ia meneruskan paket klien yang dinyahsulit keluar ke internet. Hanya kerja kedua memerlukan terjemahan, dan terjemahan itu mesti sepadan dengan aliran dalam. Perbezaan itu menentukan antara muka mana yang memegang peranan NAT dan julat alamat mana yang muncul dalam peraturan.

Ikuti satu paket melalui penghala

Ambil klien pada 10.90.0.25 yang membuka perkhidmatan HTTPS awam. Sama ada destinasi itu masuk ke dalam terowong ialah keputusan dasar klien itu sendiri. Sebaik sahaja masuk, penghala menyahsulit paket dan menghantarnya ke antara muka maya, dari situ ia dihalakan ke pautan atas awam.

Antara muka maya itu ialah bahagian dalam terjemahan. Pautan atas awam ialah bahagian luar. Jika peranan itu terbalik atau tiada, paket sama ada keluar dengan sumber peribadi atau digugurkan sebelum diterjemah.

Padankan dasar terjemahan dengan kumpulan klien

Peraturan NAT mesti menamakan julat yang benar-benar diterima oleh klien, bukan LAN pejabat yang kebetulan berkongsi pautan atas. Peraturan yang meliputi hanya subnet setempat terlepas klien jauh walaupun kedua-duanya keluar melalui antara muka yang sama.

ip access-list extended NAT-TUNNEL
 permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overload

Simpan pengecualian tapak peribadi secara berasingan. Trafik ke destinasi dalaman mesti mengekalkan sumber asalnya, jika tidak destinasi akan membalas ke alamat yang tidak dapat dicapainya dan bahagian balik akan gagal dalam cara yang kelihatan seperti gelung penghalakan.

Terapkan peranan itu pada antara muka sebenar dalam reka bentuk yang digunakan. Serpihan Virtual-Template yang disalin daripada jawapan Easy VPN lama bukan konfigurasi semasa yang lengkap, dan jenis terowong yang digunakan menentukan antara muka mana yang menerima paket yang dinyahsulit.

Asingkan pengangkutan luar daripada terjemahan dalam

Menterjemah sumber aplikasi yang dinyahsulit bukan operasi yang sama seperti menolak paket IKE atau paket terlindung melalui peranti NAT di huluan. Yang pertama mengubah apa yang dilihat oleh internet sebagai sumber permintaan klien; yang kedua mengekalkan terowong hidup merentasi kotak tengah.

Mengelirukan kedua-duanya menghasilkan dua kegagalan klasik. Penghala yang menterjemah pengangkutan terowongnya sendiri memecahkan hubungan rakan, manakala penghala yang tidak pernah menterjemah aliran dalam meneruskan alamat peribadi ke internet. Baca aliran mana yang anda lihat sebelum mengedit peraturan, dan semak sama ada terowong kekal hidup selepas perubahan. Peraturan yang membaiki penyemakan imbas sambil menjatuhkan terowong telah memindahkan masalah, bukan menyelesaikannya.

Tiada satu pun kegagalan itu diperbaiki dengan mengubah yang lain. Baca aliran mana yang anda lihat sebelum mengedit peraturan.

Sahkan pada kedua-dua sempadan

Baca sumber aplikasi pada sempadan internet, dan destinasi yang dipulihkan pada bahagian balik. Yang pertama memberitahu sama ada terjemahan berlaku; yang kedua memberitahu sama ada pemetaan songsang kembali kepada klien yang betul.

Kemudian uji klien yang menggunakan laluan terowong berpecah yang diluluskan. Klien itu tidak pernah menggunakan terjemahan internet penghala ini, jadi ia sepatutnya berkelakuan berbeza, dan perbezaan itu mengesahkan laluan mana yang dilalui oleh trafik.

Jika kedua-dua klien berkelakuan sama, dasar terowong berpecah tidak melakukan apa yang dikatakan oleh reka bentuk. Betulkan itu sebelum menambah lebih banyak peraturan terjemahan, kerana peraturan yang ditulis untuk laluan yang tidak digunakan menyembunyikan masalah sebenar.