د NAT شاته FortiGate: local-gw، localid او عامه IP

د NAT شاته FortiGate کولی شي 10.0.0.2 په خپل WAN انټرفیس کې ولري، پداسې حال کې چې انټرنیټ هغه 198.51.100.40 په توګه ښیي، او دواړه شمیرې ریښتیني دي. هغه پته چې وسیله ورسره تړل کیږي او هغه هویت چې د IKE تصدیق پر مهال لیږي جلا پریکړې دي، په جلا ساحو کې، د جلا اوریدونکو لپاره. NAT په لاره کې بهرنۍ پته بیا لیکي؛ تصدیق شوی هویت د لرې سیال هغه څه ته نه بیا لیکي چې هغه یې تمه لري. په دې بڼه کې ډیری د فاز 1 ناکامۍ د سم ارزښت په غلطه ساحه کې ایښودلو څخه راځي.

درې ارزښتونه، درې مالکین

د درې ارزښتونو او د هر یو د مالک نوم په ایښودلو پیل وکړئ. local-gw هغه پته ده چې FortiGate یې په خپل بهرني انټرفیس کې د IKE د سرچینې په توګه کاروي، او باید هغه پته وي چې وسیله یې واقعا لري. عامه پای ټکی د NAT وسیلې پته ده او د ژباړونکي ملکیت دی. IKE هویت یوه تار دی چې سیال یې له خپل ترتیب سره پرتله کوي، او اړینه نه ده چې IP پته وي.

د ساحو نومونه د بدلون بلنې لپاره کافي نږدې دي، او همدا دام دی. localid او localid-type پیژندنه بیانوي؛ local-gw ځایي تړاو بیانوي.

یوه بیلګه توپیر روښانه کوي. په FortiGate کې config vpn ipsec phase1-interface پرانیزئ، بیا set interface "wan1" او set local-gw 10.0.0.2 — هغه پته چې بکس یې لري، او همدا د IKE ساکټ په بریالیتوب سره تړي. local-gw 0.0.0.0 ته پرېږدئ نو د انټرفیس پته کارول کیږي، چې معمولا ورته شی دی خو لږ روښانه. local-gw 198.51.100.40 ته مه ټاکئ، ځکه وسیله هغه پته نه لري او ساکټ به ورسره ونه تړل شي. دوه ارزښتونه په کاغذ باندې سره برابر ښودل ترتیب نه دی.

ګام 1: هغه هویت وټاکئ چې سیال به یې ومني

اوس هویت، چې بېله پریکړه ده. set localid هغه ارزښت اخلي چې سیال به یې پرتله کوي، او set localid-type FortiGate ته وایي چې څنګه یې تفسیر کړي: پته، FQDN، کاروونکي FQDN یا کیلي ID. auto سره وسیله هغه استخراجوي، معمولا د وتونکي انټرفیس له پتې، چې هماغه ارزښت دی چې NAT وسیله یې بدلولو ته نږدې ده.

همدا استخراج دلیل دی چې ولې په دې ټوپولوژي کې روښانه هویت مهم دی. که سیال د پتې هویت تمه لري، localid-type address او localid هغه عامه پتې ته وټاکئ چې سیال به یې ویني، بیا تایید کړئ چې سیال هغه ارزښت د لارښوونې هدف په توګه نه، بلکې د هویت په توګه مني. که سیال د FQDN تمه لري، localid-type fqdn او هغه نوم وکاروئ چې ورسره ترتیب شوی و. په رښتیا څه لیږل شوي وو diagnose vpn ike gateway list سره وګورئ، چې د ګیټ وے حالت او کارول شوي پیژندونکي ښیي، نه هغه څه چې تاسو یې ټایپ کول غوښتل. مه فرض کوئ چې د هویت ډول اختیار کوم غیر ځایي پته مني؛ لومړی د خپرونې مستنده معنی وګورئ.

ګام 2: UDP 500 او 4500 وسیلې ته واستوئ

دریم ارزښت د NAT وسیلې دی، او هغه دی چې خلک یې کتل هیروي. عامه پای ټکی باید UDP 500 او UDP 4500 FortiGate ته واستوي، ځکه د NAT-T کشف او ورپسې انکپسول شوی ESP دواړه د دې پورټونو رسیدو ته تړلي دي. دا ډیزاین یو له بل سره نقشه فرض کوي; یوه عامه پته د څو سیالانو ترمنځ د پورټ له مخې شریکول بېله محدودیت لرونکې بېله ټوپولوژي ده.

لیږد د کیپچر سره تایید کړئ، د هیله سره نه: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 ښیي چې پاکټونه راځي که نه او ځوابونه وځي که نه.

Google Cloud VPN د NAT شاته سیال لپاره د ملاتړ شوي ترتیب په توګه NAT-T سره یو له بل سره NAT مستند کوي، او که لرې پای Cloud VPN ګیټ وے وي نو همدا محدودیت دی چې باید د هغه پر ضد ډیزاین شي. یو له څو یا د پورټ له مخې شریکول هماغه ملاتړ شوې ټوپولوژي نه ده، او ځایي هویت تنظیم یې نه بدلوي. که لرې اړخ بله وسیله وي، د هغې خپل مستندات ټاکي چې د هویت په توګه څه مني او ژباړل شوې سیال پته زغمي که نه. ځایي ساحه بدلولو دمخه هغه ولولئ، ځکه ځایي اړخ هغه قاعده نه شي کولای چې لرې اړخ یې نه پلي کوي.

ګام 3: وګورئ چې فاز 1 څه نه حل کوي

د NAT تیریدل تونل پورته کوي، د هویت موافقه ټاکي چې سیال به یې ومني که نه، او د داخلي مخکښې لارښوونه ټاکي چې واقعا څه تیریږي. سم ځایي ID نشي کولای ورکه شوې سټاتیک لار یا ورکه شوی ترافیک ټاکونکی برابروي.

نو په طبقو طبقو وګورئ. get vpn ipsec tunnel details ښیي چې تونل پورته دی که نه او کوم ټاکونکي خبرې شوي، او د ترتیب شوې لرې فرعي شبکې او خبرې شوي ټاکونکي ترمنځ ناسمونډی د فاز 2 په جامه کې لارښوونې ستونزه ده. execute vpn ike gateway clear بیا خبرو ته اړباسي، نو تاسو اوسنی ترتیب ازموئ نه هغه ناسته چې ستاسو له وروستي بدلون دمخه جوړه شوې وه. بیا لرې مخکښې کې یو کوربه ته ترافیک واستوئ او تایید کړئ چې شمیرونکي ځي، ځکه پورته تونل چې هیڅ نه تیروي تر هغه چې وګورئ د کار کوونکي په څیر ښکاري.

درې ارزښتونه په خپلو یادښتونو کې په یوه ځای کې وساتئ: هغه ځایي پته چې وسیله یې لري، هغه عامه پای ټکی چې NAT وسیله یې وړاندې کوي، او هغه هویت تار چې سیال یې تمه لري. دوی د بېلابېلو دلیلونو له مخې او په بېلابېلو وختونو کې بدلیږي.

د NAT وسیلې بیا شمیرنه د FortiGate د local-gw د لاسوهنې دلیل نه دی، او د هویت بدلون د هر څه بیا شمیرنې دلیل نه دی. دواړه یوځای کول هماغه لاره ده چې کار کوونکی تونل په ناتړلي ساتنې وینډو کې بیا جوړیږي. د Cloud VPN NAT لارښود په هغه اړخ کې د ملاتړ شوې ټوپولوژي لپاره مرجع ده.

هغه ازموینه چې دا فیصله کوي ستړې کوونکې او چټکه ده: په بهرني انټرفیس کې کیپچر وکړئ، تایید کړئ چې UDP 500 او 4500 له سیال څخه راځي، تایید کړئ چې د IKE تبادلې هویت د هغه سره سمون لري چې سیال د تمې لپاره ترتیب شوی و، بیا تایید کړئ چې خبرې شوي ټاکونکي هغه فرعي شبکې پوښي چې تاسو ته مهمې دي. که لومړنۍ کتنه ناکامه شي، شکمن د NAT وسیله ده. که دوهمه، هویت ساحې دي. که دریمه، نو نه NAT او نه هویت هیڅکله ستونزه وه.