IOS VPN ਐਗਜ਼ਿਟ 'ਤੇ NAT ਦੀ ਅੰਦਰੂਨੀ ਅਤੇ ਬਾਹਰੀ ਭੂਮਿਕਾ ਕਿਹੜੇ ਇੰਟਰਫੇਸ ਨੂੰ ਮਿਲਦੀ ਹੈ
ਡੀਕ੍ਰਿਪਟ ਕੀਤੀ ਕਲਾਇੰਟ ਪੈਕੇਟ ਨੂੰ ਵਰਚੁਅਲ ਇੰਟਰਫੇਸ ਤੋਂ ਅੱਪਲਿੰਕ ਤੱਕ ਟਰੈਕ ਕਰੋ। ਅਨੁਵਾਦ ਇਸ ਅੰਦਰੂਨੀ ਫਲੋ 'ਤੇ ਹੈ, ਟਨਲ ਦੇ ਬਾਹਰੀ ਟ੍ਰਾਂਸਪੋਰਟ 'ਤੇ ਨਹੀਂ।
ਪੂਰਾ ਟਨਲ ਇੰਟਰਨੈੱਟ ਐਗਜ਼ਿਟ ਦੇਣ ਵਾਲੇ ਰਾਊਟਰ ਦੋ ਕੰਮ ਕਰਦੇ ਹਨ ਜੋ ਇੱਕੋ ਜਿਹੇ ਲੱਗਦੇ ਹਨ। ਇਹ ਟਨਲ ਖ਼ਤਮ ਕਰਦਾ ਹੈ ਅਤੇ ਡੀਕ੍ਰਿਪਟ ਕੀਤੀ ਕਲਾਇੰਟ ਪੈਕੇਟ ਇੰਟਰਨੈੱਟ ਵੱਲ ਭੇਜਦਾ ਹੈ। ਸਿਰਫ਼ ਦੂਜੇ ਕੰਮ ਨੂੰ ਅਨੁਵਾਦ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਅਨੁਵਾਦ ਅੰਦਰੂਨੀ ਫਲੋ ਨਾਲ ਮੇਲ ਖਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਇਹ ਫ਼ਰਕ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕਿਹੜੇ ਇੰਟਰਫੇਸ NAT ਭੂਮਿਕਾਵਾਂ ਲੈਂਦੇ ਹਨ ਅਤੇ ਨਿਯਮ ਵਿੱਚ ਕਿਹੜੀ ਪਤਾ ਰੇਂਜ ਆਉਂਦੀ ਹੈ।
ਇੱਕ ਪੈਕੇਟ ਨੂੰ ਰਾਊਟਰ ਰਾਹੀਂ ਟਰੈਕ ਕਰੋ
ਮੰਨ ਲਓ 10.90.0.25 'ਤੇ ਬੈਠਾ ਕਲਾਇੰਟ ਇੱਕ ਜਨਤਕ HTTPS ਸੇਵਾ ਖੋਲ੍ਹਦਾ ਹੈ। ਉਹ ਮੰਜ਼ਿਲ ਟਨਲ ਵਿੱਚ ਆਉਂਦੀ ਹੈ ਜਾਂ ਨਹੀਂ, ਇਹ ਕਲਾਇੰਟ ਦੀ ਆਪਣੀ ਨੀਤੀ ਦਾ ਫ਼ੈਸਲਾ ਹੈ। ਇੱਕ ਵਾਰ ਆਉਣ 'ਤੇ ਰਾਊਟਰ ਪੈਕੇਟ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਕਰਕੇ ਵਰਚੁਅਲ ਇੰਟਰਫੇਸ ਤੱਕ ਪਹੁੰਚਾਉਂਦਾ ਹੈ, ਜਿੱਥੋਂ ਇਹ ਜਨਤਕ ਅੱਪਲਿੰਕ ਵੱਲ ਰੂਟ ਹੁੰਦਾ ਹੈ।
ਉਹ ਵਰਚੁਅਲ ਇੰਟਰਫੇਸ ਅਨੁਵਾਦ ਦਾ ਅੰਦਰਲਾ ਪਾਸਾ ਹੈ। ਜਨਤਕ ਅੱਪਲਿੰਕ ਬਾਹਰਲਾ ਪਾਸਾ ਹੈ। ਜੇ ਭੂਮਿਕਾਵਾਂ ਉਲਟੀਆਂ ਜਾਂ ਗ਼ੈਰਹਾਜ਼ਰ ਹਨ, ਤਾਂ ਪੈਕੇਟ ਜਾਂ ਤਾਂ ਨਿੱਜੀ ਸਰੋਤ ਨਾਲ ਬਾਹਰ ਜਾਂਦਾ ਹੈ, ਜਾਂ ਅਨੁਵਾਦ ਤੋਂ ਪਹਿਲਾਂ ਸੁੱਟ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ।
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
ਅਨੁਵਾਦ ਨੀਤੀ ਨੂੰ ਕਲਾਇੰਟ ਪੂਲ ਨਾਲ ਮਿਲਾਓ
NAT ਨਿਯਮ ਵਿੱਚ ਉਹ ਰੇਂਜ ਦੱਸੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ ਜੋ ਕਲਾਇੰਟਾਂ ਨੂੰ ਅਸਲ ਵਿੱਚ ਮਿਲਦੀ ਹੈ, ਨਾ ਕਿ ਦਫ਼ਤਰੀ LAN ਜੋ ਸੰਜੋਗ ਨਾਲ ਅੱਪਲਿੰਕ ਸਾਂਝਾ ਕਰਦਾ ਹੈ। ਸਿਰਫ਼ ਸਥਾਨਕ ਸਬਨੈੱਟ ਨੂੰ ਕਵਰ ਕਰਨ ਵਾਲਾ ਨਿਯਮ ਦੂਰ ਦੇ ਕਲਾਇੰਟਾਂ ਨੂੰ ਛੱਡ ਦਿੰਦਾ ਹੈ, ਭਾਵੇਂ ਦੋਵੇਂ ਇੱਕੋ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਬਾਹਰ ਜਾਂਦੇ ਹੋਣ।
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadਨਿੱਜੀ ਸਾਈਟਾਂ ਦੇ ਅਪਵਾਦ ਵੱਖਰੇ ਰੱਖੋ। ਅੰਦਰੂਨੀ ਮੰਜ਼ਿਲਾਂ ਵੱਲ ਟ੍ਰੈਫਿਕ ਆਪਣਾ ਮੂਲ ਸਰੋਤ ਬਣਾਈ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ, ਨਹੀਂ ਤਾਂ ਮੰਜ਼ਿਲ ਉਸ ਪਤੇ 'ਤੇ ਜਵਾਬ ਦੇਵੇਗੀ ਜਿੱਥੇ ਇਹ ਪਹੁੰਚ ਨਹੀਂ ਸਕਦੀ ਅਤੇ ਵਾਪਸੀ ਵਾਲਾ ਹਿੱਸਾ ਰੂਟਿੰਗ ਲੂਪ ਵਰਗਾ ਦਿਖਣ ਵਾਲੇ ਢੰਗ ਨਾਲ ਫੇਲ੍ਹ ਹੋਵੇਗਾ।
ਭੂਮਿਕਾਵਾਂ ਨੂੰ ਤੈਨਾਤ ਡਿਜ਼ਾਈਨ ਦੇ ਅਸਲ ਇੰਟਰਫੇਸਾਂ 'ਤੇ ਲਾਗੂ ਕਰੋ। ਪੁਰਾਣੇ Easy VPN ਜਵਾਬ ਤੋਂ ਕਾਪੀ ਕੀਤਾ Virtual-Template ਟੁਕੜਾ ਪੂਰੀ ਮੌਜੂਦਾ ਕੌਨਫਿਗਰੇਸ਼ਨ ਨਹੀਂ ਹੈ, ਅਤੇ ਵਰਤਿਆ ਜਾ ਰਿਹਾ ਟਨਲ ਕਿਸਮ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕਿਹੜਾ ਇੰਟਰਫੇਸ ਡੀਕ੍ਰਿਪਟ ਕੀਤਾ ਪੈਕੇਟ ਲੈਂਦਾ ਹੈ।
ਬਾਹਰੀ ਟ੍ਰਾਂਸਪੋਰਟ ਅਤੇ ਅੰਦਰੂਨੀ ਅਨੁਵਾਦ ਨੂੰ ਵੱਖ ਰੱਖੋ
ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ ਐਪਲੀਕੇਸ਼ਨ ਸਰੋਤ ਦਾ ਅਨੁਵਾਦ ਕਰਨਾ, IKE ਜਾਂ ਸੁਰੱਖਿਅਤ ਪੈਕੇਟਾਂ ਨੂੰ ਉੱਪਰਲੇ NAT ਯੰਤਰ ਰਾਹੀਂ ਧੱਕਣ ਵਰਗਾ ਕੰਮ ਨਹੀਂ ਹੈ। ਪਹਿਲਾ ਬਦਲਦਾ ਹੈ ਕਿ ਇੰਟਰਨੈੱਟ ਕਲਾਇੰਟ ਦੀ ਬੇਨਤੀ ਦੇ ਸਰੋਤ ਵਜੋਂ ਕੀ ਦੇਖਦਾ ਹੈ; ਦੂਜਾ ਵਿਚਕਾਰਲੇ ਯੰਤਰ ਰਾਹੀਂ ਟਨਲ ਨੂੰ ਜ਼ਿੰਦਾ ਰੱਖਦਾ ਹੈ।
ਇਨ੍ਹਾਂ ਨੂੰ ਮਿਲਾਉਣ ਨਾਲ ਦੋ ਕਲਾਸਿਕ ਫੇਲ੍ਹਤਾਂ ਆਉਂਦੀਆਂ ਹਨ। ਆਪਣੇ ਟਨਲ ਟ੍ਰਾਂਸਪੋਰਟ ਦਾ ਅਨੁਵਾਦ ਕਰਨ ਵਾਲਾ ਰਾਊਟਰ ਪੀਅਰ ਸੰਬੰਧ ਤੋੜਦਾ ਹੈ, ਜਦਕਿ ਅੰਦਰੂਨੀ ਫਲੋ ਦਾ ਕਦੇ ਅਨੁਵਾਦ ਨਾ ਕਰਨ ਵਾਲਾ ਰਾਊਟਰ ਨਿੱਜੀ ਪਤੇ ਇੰਟਰਨੈੱਟ 'ਤੇ ਭੇਜਦਾ ਹੈ। ਨਿਯਮ ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ ਪੜ੍ਹੋ ਕਿ ਤੁਸੀਂ ਕਿਹੜੀ ਫਲੋ ਦੇਖ ਰਹੇ ਹੋ, ਅਤੇ ਜਾਂਚੋ ਕਿ ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਟਨਲ ਚੱਲਦਾ ਰਿਹਾ ਜਾਂ ਨਹੀਂ। ਬ੍ਰਾਊਜ਼ਿੰਗ ਠੀਕ ਕਰਕੇ ਟਨਲ ਡੇਗਣ ਵਾਲਾ ਨਿਯਮ ਸਮੱਸਿਆ ਹੱਲ ਕਰਨ ਦੀ ਬਜਾਏ ਉਸ ਨੂੰ ਹਿਲਾ ਦਿੰਦਾ ਹੈ।
ਕੋਈ ਵੀ ਫੇਲ੍ਹਤ ਦੂਜੀ ਨੂੰ ਬਦਲ ਕੇ ਠੀਕ ਨਹੀਂ ਹੁੰਦੀ। ਨਿਯਮ ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ ਪੜ੍ਹੋ ਕਿ ਤੁਸੀਂ ਕਿਹੜੀ ਫਲੋ ਦੇਖ ਰਹੇ ਹੋ।
ਦੋਵੇਂ ਹੱਦਾਂ 'ਤੇ ਜਾਂਚੋ
ਇੰਟਰਨੈੱਟ ਹੱਦ 'ਤੇ ਐਪਲੀਕੇਸ਼ਨ ਸਰੋਤ ਪੜ੍ਹੋ, ਅਤੇ ਵਾਪਸੀ ਵਾਲੇ ਹਿੱਸੇ 'ਤੇ ਬਹਾਲ ਕੀਤੀ ਮੰਜ਼ਿਲ ਪੜ੍ਹੋ। ਪਹਿਲਾ ਦੱਸਦਾ ਹੈ ਕਿ ਅਨੁਵਾਦ ਹੋਇਆ ਜਾਂ ਨਹੀਂ; ਦੂਜਾ ਦੱਸਦਾ ਹੈ ਕਿ ਉਲਟਾ ਮੈਪਿੰਗ ਸਹੀ ਕਲਾਇੰਟ ਕੋਲ ਵਾਪਸ ਆਇਆ ਜਾਂ ਨਹੀਂ।
ਫਿਰ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਸਪਲਿਟ-ਟਨਲ ਰਾਹ ਵਰਤਣ ਵਾਲੇ ਕਲਾਇੰਟ ਦੀ ਜਾਂਚ ਕਰੋ। ਉਹ ਕਲਾਇੰਟ ਇਸ ਰਾਊਟਰ ਦਾ ਇੰਟਰਨੈੱਟ ਅਨੁਵਾਦ ਕਦੇ ਨਹੀਂ ਵਰਤਦਾ, ਇਸ ਲਈ ਉਸ ਨੂੰ ਵੱਖਰਾ ਵਿਵਹਾਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਫ਼ਰਕ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ ਕਿ ਟ੍ਰੈਫਿਕ ਕਿਹੜੇ ਰਾਹ ਗਿਆ।
ਜੇ ਦੋਵੇਂ ਕਲਾਇੰਟ ਇੱਕੋ ਜਿਹਾ ਵਿਵਹਾਰ ਕਰਦੇ ਹਨ, ਤਾਂ ਸਪਲਿਟ-ਟਨਲ ਨੀਤੀ ਡਿਜ਼ਾਈਨ ਵਿੱਚ ਦੱਸਿਆ ਕੰਮ ਨਹੀਂ ਕਰ ਰਹੀ। ਹੋਰ ਅਨੁਵਾਦ ਨਿਯਮ ਜੋੜਨ ਤੋਂ ਪਹਿਲਾਂ ਇਹ ਠੀਕ ਕਰੋ, ਕਿਉਂਕਿ ਵਰਤੋਂ ਵਿੱਚ ਨਾ ਆਉਣ ਵਾਲੇ ਰਾਹ ਲਈ ਲਿਖਿਆ ਨਿਯਮ ਅਸਲ ਸਮੱਸਿਆ ਲੁਕਾਉਂਦਾ ਹੈ।