Liema interface tieħu r-rwol ta' ġewwa u ta' barra tan-NAT fuq ħruġ VPN IOS

Ir-router li jipprovdu ħruġ tal-internet b'tunnel sħiħ jagħmlu żewġ xogħlijiet li jidhru bħala wieħed. Dan itemm it-tunnel, u jgħaddi l-pakkett deċifrat tal-klijent 'l barra lejn l-internet. Xogħol biss it-tieni wieħed jeħtieġ traduzzjoni, u t-traduzzjoni trid taqbel mal-fluss ta' ġewwa. Din id-differenza tiddetermina liema interfaces iġorru r-rwoli tan-NAT u liema firxa ta' indirizzi tidher fir-regola.

Segwi pakkett wieħed mir-router

Ħu klijent fuq 10.90.0.25 li jiftaħ servizz HTTPS pubbliku. Jekk dik id-destinazzjoni tidħolx fit-tunnel hija deċiżjoni tal-politika tal-klijent stess. Ladarba tidħol, ir-router jiddeċifra l-pakkett u jwasslu lil interface virtwali, minn fejn jiġi mgħoddi lejn l-uplink pubbliku.

Dak l-interface virtwali huwa l-ġewwa tat-traduzzjoni. L-uplink pubbliku huwa n-naħa ta' barra. Jekk ir-rwoli jinqalbu jew jonqsu, il-pakkett jew joħroġ b'sors privat jew jiġi mxellel qabel ma jiġi tradott.

Qabbel il-politika tat-traduzzjoni mal-pool tal-klijenti

Ir-regola NAT trid issemmi l-firxa li l-klijenti fil-fatt jirċievu, mhux il-LAN tal-uffiċċju li jkun qed jaqsam l-uplink. Regola li tkopri biss is-subnet lokali titlef il-klijenti remoti anki meta t-tnejn joħorġu mill-istess interface.

ip access-list extended NAT-TUNNEL
 permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overload

Żomm l-eċċezzjonijiet tas-siti privati separati. It-traffiku lejn destinazzjonijiet interni trid iżżomm is-sors oriġinali tiegħu, inkella d-destinazzjoni twieġeb lil indirizz li ma tistax tilħaq u s-sieq tar-ritorn tfalli b'mod li jidher bħal linja ta' routing.

Applika r-rwoli lill-interfaces reali fid-disinn implimentat. Framment ta' Virtual-Template ikkupjat minn tweġiba Easy VPN antika mhuwiex konfigurazzjoni attwali kompluta, u t-tip ta' tunnel użat jiddetermina liema interface tirċievi l-pakkett deċifrat.

Żomm it-trasport ta' barra u t-traduzzjoni ta' ġewwa mifruda

It-traduzzjoni ta' sors ta' applikazzjoni deċifrat mhijiex l-istess operazzjoni bħall-imbuttar ta' pakketti IKE jew protetti minn apparat NAT 'il fuq. L-ewwel tibdel dak li l-internet jara bħala s-sors tat-talba tal-klijent; it-tieni żżomm tunnel ħaj minn naħa għall-oħra ta' middlebox.

It-taħwid tagħhom jipproduċi żewġ fallimenti klassiċi. Router li jittraduċi t-trasport tat-tunnel tiegħu stess ikisser ir-relazzjoni bejn il-pari, filwaqt li router li qatt ma jittraduċi l-fluss ta' ġewwa jgħaddi indirizzi privati lejn l-internet. Aqra liema fluss qed tħares lejh qabel ma teditja regola, u ċċekkja jekk it-tunnel baqax ħaj wara l-bidla. Regola li ssewwi l-ibbrawżjar filwaqt li twaqqa' t-tunnel ikun tellgħet il-problema minflok ma solvejtha.

L-ebda falliment minnhom mhu solvut billi tinbidel l-ieħor. Aqra liema fluss qed tħares lejh qabel ma teditja regola.

Ivverifika fuq iż-żewġ konfini

Aqra s-sors tal-applikazzjoni fuq il-konfini tal-internet, u d-destinazzjoni rrestawrata fis-sieq tar-ritorn. L-ewwel tgħidlek jekk seħħetx it-traduzzjoni; it-tieni tgħidlek jekk il-mappa inversa rritornatx għall-klijent it-tajjeb.

Imbagħad ipprova klijent li juża mogħdija split-tunnel approvata. Dak il-klijent qatt ma jeżerċita t-traduzzjoni tal-internet ta' dan ir-router, għalhekk għandu jaġixxi b'mod differenti, u d-differenza tikkonferma liema mogħdija ħa t-traffiku.

Jekk iż-żewġ klijenti jaġixxu bl-istess mod, il-politika tas-split-tunnel mhijiex tagħmel dak li jgħid id-disinn. Seewwi dak qabel ma żżid aktar regoli ta' traduzzjoni, għax regola miktuba għal mogħdija li mhijiex użata taħbi l-problema vera.