FortiGate wara NAT: local-gw, localid u l-IP pubblika

FortiGate wara NAT jista' jkollu 10.0.0.2 fuq il-interface WAN tiegħu filwaqt li l-internet jippreżentah bħala 198.51.100.40, u ż-żewġ numri huma reali. L-indirizz li miegħu l-apparat jorbot u l-identità li jibgħat waqt l-awtentikazzjoni IKE huma għażliet separati, magħmula f'qasam separati, għal udjenza separata. NAT jerġa' jikteb l-indirizzar ta' barra fit-triq; ma jerġax jikteb identità awtentikata f'dak li jistenna l-peer imbiegħed. Il-biċċa l-kbira tal-fallimenti tal-fażi 1 f'din il-forma ġejjin milli jitqiegħed il-valur it-tajjeb fil-qasam ħażin.

Tliet valuri, tliet sidien

Ibda billi ssemmi t-tliet valuri u min jippossjedi kull wieħed. local-gw huwa l-indirizz li l-FortiGate juża bħala sors għall-IKE fuq l-interface esterna tiegħu, u għandu jkun indirizz li l-apparat fil-fatt għandu. Il-punt tat-tmiem pubbliku huwa l-indirizz tal-apparat NAT, u huwa proprjetà ta' min iwettaq it-traduzzjoni. L-identità IKE hija string li l-peer iqabbel mal-konfigurazzjoni tiegħu stess, u mhuwiex meħtieġ li tkun indirizz IP xejn.

L-ismijiet tal-qasam huma viċin biżżejjed biex jistiednu s-sostituzzjoni, u dik hija n-nassa. localid u localid-type jiddeskrivu l-identifikazzjoni; local-gw jiddeskrivi r-rabta lokali.

Eżempju jagħmel id-distinzjoni konkreta. Fuq il-FortiGate, iftaħ config vpn ipsec phase1-interface, imbagħad set interface "wan1" u set local-gw 10.0.0.2 — indirizz li l-kaxxa għandha, u dan huwa dak li jġiegħel is-socket IKE jorbot b'suċċess. Ħalli local-gw fuq 0.0.0.0 u jintuża l-indirizz tal-interface, li normalment huwa l-istess ħaġa iżda inqas espliċita. Tissettjax local-gw għal 198.51.100.40, għax l-apparat m'għandux dak l-indirizz u s-socket mhux se jorbot miegħu. Li tagħmel żewġ valuri jidhru ugwali fuq il-karta mhuwiex konfigurazzjoni.

Pass 1: agħżel l-identità li l-peer se jaċċetta

Issa l-identità, li hija deċiżjoni differenti. set localid jieħu l-valur li l-peer se jqabbel, u set localid-type jgħid lill-FortiGate kif jinterpretah: indirizz, FQDN, FQDN tal-utent jew ID tal-muftieħ. B' auto l-apparat joħroġha, tipikament mill-indirizz tal-interface li joħroġ, li huwa eżattament il-valur li apparat NAT se jbiddel.

Din id-derivazzjoni hija r-raġuni għaliex identità espliċita hija importanti f'din it-topoloġija. Jekk il-peer jistenna identità tal-indirizz, issettja localid-type address u localid fuq l-indirizz pubbliku li l-peer se jara, imbagħad ikkonferma li l-peer jaċċetta dak il-valur bħala identità u mhux bħala mira tal-irrotar. Jekk il-peer jistenna FQDN, uża localid-type fqdn u l-isem li bih ġie kkonfigurat. Ivverifika x'inkiteb tassew bil- diagnose vpn ike gateway list, li turi l-istat tal-gateway u l-identifikaturi fil-użu, mhux dak li kellek ħsieb tikteb. Tassumix li għażla tat-tip tal-identità taċċetta indirizz mhux lokali arbitrarju; iċċekkja l-ewwel is-semantika dokumentata tar-rilaxx.

Pass 2: ibgħat UDP 500 u 4500 lill-apparat

It-tielet valur jappartjeni lill-apparat NAT, u huwa dak li n-nies jinsiew jivverifikaw. Il-punt tat-tmiem pubbliku għandu jibgħat UDP 500 u UDP 4500 lill-FortiGate, għax l-iskoperta NAT-T u l-ESP inkapsulat li jsegwi t-tnejn jiddependu mill-wasla ta' dawk il-portijiet. Dan id-disinn jassumi mappa wieħed għal wieħed; it-tqassim ta' indirizz pubbliku wieħed skont il-portijiet fost diversi peers hija topoloġija differenti b'limiti differenti.

Ikkonferma t-trasferiment b'qabda u mhux b'tama: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 juri jekk il-pakketti jaslux u jekk it-tweġibiet joħorġux.

Google Cloud VPN jiddokumenta NAT wieħed għal wieħed ma' NAT-T bħala l-arranġament appoġġjat għal peer wara NAT, u dan huwa l-limitu li għandu jiġi ddisinjat kontrih jekk it-tarf imbiegħed huwa gateway Cloud VPN. It-tqassim wieħed għal ħafna jew skont il-portijiet mhuwiex l-istess topoloġija appoġġjata, u l-ebda aġġustament tal-identità lokali ma jbiddel dan. Jekk in-naħa mbiegħda hija apparat ieħor, id-dokumentazzjoni tagħha stess tiddefinixxi x'se taċċetta bħala identità u jekk tittollerax indirizz ta' peer tradott. Aqra dan qabel ma tbiddel qasam lokali, għax in-naħa lokali ma tistax tinnegozja regola li n-naħa mbiegħda ma timplimentax.

Pass 3: iċċekkja x'ma jsolvix il-fażi 1

It-traversata NAT tgħolli t-tunnel, il-qbil dwar l-identità jiddeċiedi jekk il-peer jaċċettahx, u l-irrotar tal-prefiss intern jiddeċiedi x'jgħaddi tassew. ID lokali korrett ma jistax jipprovdi rotta statika neqsin jew selettur tat-traffiku neqsin.

Għalhekk ivverifika f'saffi. get vpn ipsec tunnel details juri jekk it-tunnel huwiex 'il fuq u liema seletturi ġew negozjati, u nuqqas ta' qbil bejn is-subnet imbiegħed konfigurat u s-selettur negozjat huwa problema tal-irrotar fi kostum tal-fażi 2. execute vpn ike gateway clear jisfurza negozjar mill-ġdid, għalhekk qed tittestja l-konfigurazzjoni attwali u mhux sessjoni stabbilita qabel l-aħħar bidla tiegħek. Imbagħad ibgħat traffiku lil host fil-prefiss imbiegħed u kkonferma li l-kontaturi jiċċaqilqu, għax tunnel li huwa 'l fuq u li ma jgħaddix xejn jidher identiku għal wieħed li jaħdem sakemm tivverifika.

Żomm it-tliet valuri f'post wieħed fin-noti tiegħek: l-indirizz lokali li għandu l-apparat, il-punt tat-tmiem pubbliku li jippreżenta l-apparat NAT, u l-string tal-identità li jistenna l-peer. Jinbidlu għal raġunijiet differenti u fi żminijiet differenti.

In-numerazzjoni mill-ġdid tal-apparat NAT mhijiex raġuni biex tmiss local-gw tal-FortiGate, u bidla fl-identità mhijiex raġuni biex tinumeraw mill-ġdid xi ħaġa. Li tħallat it-tnejn huwa kif tunnel li jaħdem jinbena mill-ġdid waqt tieqa ta' manutenzjoni mhux relatata. Il- gwida NAT ta' Cloud VPN hija r-referenza għat-topoloġija appoġġjata fuq dik in-naħa.

It-test li jsolviha huwa tedjanti u mgħaġġel: aqbad fuq l-interface esterna, ikkonferma li UDP 500 u 4500 jaslu mill-peer, ikkonferma li l-identità fl-iskambju IKE taqbel ma' dak li l-peer kien ikkonfigurat jistenna, imbagħad ikkonferma li s-seletturi negozjati jkopru s-subnets li jimpurtawk. Jekk l-ewwel verifika tfalli, l-apparat NAT huwa s-suspettat. Jekk it-tieni tfalli, huma l-qasam tal-identità. Jekk it-tielet tfalli, la NAT u lanqas identità qatt ma kienu l-problema.