VPN minn sit għal sit ta’ Azure ma’ sieħeb wara NAT: lista ta’ verifika

Agħmel dawn il-verifiki fl-ordni u waqaf fl-ewwel waħda li tfalli. Ħafna mir-rapporti li Azure ma jappoġġjax apparat wara NAT fil-fatt ikunu indirizz tas-sieħeb li Azure ma jistax jilħaq, jew mina li qatt ma tibda mill-ġenb it-tajjeb. It-trasport ta’ barra u r-rotot ta’ ġewwa huma żewġ problemi differenti, u li tħallathom jaħli wara nofsinhar. Kull pass hawn taħt jagħti osservazzjoni li tista’ tagħti lil xi ħadd ieħor.

Pass 1: ikkonferma li s-sieħeb tabilħaqq wara NAT

Qabbel l-indirizz fuq l-interface WAN tal-apparat mal-indirizz li Azure jara għalih. Jekk huma differenti, xi ħaġa qed tittraduċi, u dak it-traduttur issa huwa parti mid-disinn tal-VPN tiegħek. Staqsi lill-fornitur jekk il-mapping hijiex statika jew maqsuma, għax mapping maqsuma tbiddel dak li tista’ tiddependi fuqu. Apparat b’indirizz WAN privat u mingħajr forwarding huwa każ differenti minn wieħed wara NAT ta’ livell ta’ operatur b’mapping pubbliku stabbli.

Jekk iż-żewġ indirizzi jikkoinċidu, waqaf hawn: NAT mhix il-problema tiegħek u l-bqija ta’ din il-lista mhux se tgħin.

Irreġistra t-tnejn indirizzi u l-mudell tat-traduttur fil-biljett. Dik il-linja waħda tipprevjeni l-ġirja li jmiss ta’ mistoqsijiet dwar għaliex is-sieħeb konfigurat ma jweġibx.

Pass 2: naqblu min jibda

Il-Mistoqsijiet Frekwenti ta’ Azure VPN Gateway jiddikjaraw l-appoġġ għal NAT-T u jżidu li l-apparat lokali għandu jibda l-mina IPsec meta jkun wara NAT. Dan jaqbel ma’ kif taħdem it-traduzzjoni b’istat, għax it-traduttur iżomm mapping għax l-apparat ta’ ġewwa bagħat l-ewwel pakkett. Jekk huwa mistenni li Azure jibda u ma jasal xejn biex joħloq dak il-mapping, il-mina qatt ma tibda.

Ikkonfigura s-sieħeb b’tali mod li żball ta’ tweġib biss ikun ovvju, u ċċekkja jekk l-apparat jerġax jipprova waħdu jew jeħtieġ trigger. Xi apparati jtellgħu mina biss meta jidher traffiku interessanti, li huwa tajjeb sakemm it-traffiku interessanti jkun prova tas-saħħa li qatt ma tiġi.

Osserva l-iskambju IKE fuq l-apparat waqt bidu manwali; is-skiet hemmhekk huwa tweġiba ta’ routing jew firewall, mhux tweġiba ta’ Azure.

Pass 3: agħmel l-indirizz tas-sieħeb sew

Azure jeħtieġ indirizz pubbliku li jintlaħaq għas-sieħeb fl-oġġett tal-gateway tan-netwerk lokali tiegħu, normalment l-indirizz pubbliku tat-traduttur minflok l-indirizz ta’ ġewwa tal-apparat. L-identità li biha l-apparat jawtentika ruħu hija qasam separat u tista’ b’mod leġittimu tkun differenti mill-indirizz li Azure iċempel. Żomm it-tnejn separati, għax jekk tibdilhom tipproduċi falliment ta’ awtentikazzjoni li jidher eżatt bħal problema ta’ NAT.

Jekk l-indirizz pubbliku jinbidel, dak l-oġġett irid jinbidel miegħu. Isem li jiġi riżolt għal indirizz skadut huwa agħar minn indirizz statiku li trid taġġorna bl-idejn.

Ikteb it-tliet valuri kollha: l-indirizz lokali tal-apparat, l-indirizz pubbliku tradott, u l-identità tas-sieħeb konfigurata.

Pass 4: iftaħ biss il-portijiet li NAT-T jeħtieġ

NAT-T iġorr ESP ġewwa UDP, u RFC 3948 jiddeskrivi dak l-inkapsulament bil-port 4500 użat wara n-negozjar inizjali fuq il-port 500. Il-firewall tiegħek u t-traduttur it-tnejn iridu jippermettu l-iskambju u t-traffiku tar-ritorn tiegħu. Li tippermetti port TCP mhux relatat ma jipprova xejn dwar din it-triq, u regola li tippermetti l-ħruġ imma mhux it-tweġiba xorta tfalli.

Forwarding statiku ta’ port deħlin mhuwiex awtomatikament meħtieġ meta s-sieħeb jibda u t-traduttur iżomm l-istat. Isir meħtieġ meta l-mapping mhijiex stabbli jew meta xi ħaġa fit-triq tiskadi l-istat b’mod aggressiv.

Aqbad darba fuq iż-żewġ naħat tat-traduttur; id-differenza fl-inkapsulament tidher minnufih.

Pass 5: ifred it-trasport ta’ barra mir-routing ta’ ġewwa

Mina li tistabbilixxi ruħha u ma ġġorr xejn hija problema ta’ routing, mhux problema ta’ NAT-T. Is-siti għadhom jeħtieġu seletturi tat-traffiku kompatibbli, spazji tal-indirizzi li jaqblu, regoli ta’ aċċess u triq tar-ritorn għan-netwerks tal-applikazzjonijiet. Xejn minn dan ma jipprovdih skambju IKE b’suċċess.

Jekk iż-żewġ siti jużaw firxiet privati li jikkoinċidu, it-traduzzjoni ġewwa l-mina hija disinn separat bir-regoli tiegħu stess. Terġax innumera subnetwork biss għax il-gateway ta’ barra jinsab wara router tad-dar.

Ikklassifika l-falliment skont il-fażi qabel tibdel xejn, u żomm dik il-klassifikazzjoni fil-biljett sabiex il-persuna li jmiss tibda fejn waqaft.