په IOS VPN وتلو کې NAT ته د ننه او دباندې رول کوم انټرفیس ترلاسه کوي
د ډیکریپټ شوي کلاینټ پاکټ له مجازي انټرفیس څخه تر پورتنۍ لینک پورې تعقیب کړئ. ژباړه په همدې داخلي بهیر کې ده، نه د تونل په بهرني ترانسپورت کې.
هغه روټرونه چې بشپړ تونل انټرنیټ وتل برابروي، دوه کارونه کوي چې یو ښکاري. هغه تونل پای ته رسوي او ډیکریپټ شوی کلاینټ پاکټ انټرنیټ ته لېږي. یوازې دویم کار ژباړې ته اړتیا لري، او ژباړه باید له داخلي بهیر سره سمه وي. همدا توپیر ټاکي چې کوم انټرفیسونه NAT رولونه لري او په قاعده کې کومه پته ساحه ښکاري.
یو پاکټ د روټر له لارې تعقیب کړئ
د 10.90.0.25 په پته یو کلاینټ واخلئ چې عامه HTTPS خدمت پرانیزي. آیا هغه منزل تونل ته داخلیږي که نه، دا د کلاینټ خپله پالیسي پرېکړه ده. داخلیږي چې سره، روټر پاکټ ډیکریپټ کوي او مجازي انټرفیس ته یې رسوي، له هغه ځایه چې عامه پورتنۍ لینک ته لارښودل کیږي.
هغه مجازي انټرفیس د ژباړې داخلي اړخ دی. عامه پورتنۍ لینک بهرنی اړخ دی. که رولونه بدل یا ورک وي، پاکټ یا له خصوصي سرچینې سره وځي، یا د ژباړې مخکې غورځول کیږي.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
د ژباړې تګلاره د کلاینټ ډلې سره سمه کړئ
NAT قاعده باید هغه ساحه ونوموي چې کلاینټونه یې واقعاً ترلاسه کوي، نه د دفتر LAN چې ناڅاپه پورتنۍ لینک شریکوي. یوازې سیمه ایزه فرعي شبکه پوښونکی قاعده لرې کلاینټونه له لاسه ورکوي، حتی کله چې دواړه د یوه انټرفیس له لارې ووځي.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadد خصوصي سایټونو استثناوې جلا وساتئ. داخلي منزلونو ته ترافیک باید خپله اصلي سرچینه وساتي، که نه منزل هغه پتې ته ځواب ورکوي چې هغه ورته نشي رسېدلی او د بیرته راستنېدو برخه د لارښوونې لوپ په څیر ښکاره شي.
رولونه په ځای پرځای شوي ډیزاین کې ریښتینو انټرفیسونو ته تطبیق کړئ. له زاړه Easy VPN ځواب څخه کاپي شوی Virtual-Template ټوټه بشپړه اوسنۍ کنفیګریشن نه ده، او کارول شوی تونل ډول ټاکي چې کوم انټرفیس ډیکریپټ شوی پاکټ ترلاسه کوي.
بهرنی ترانسپورت او داخلي ژباړه جلا وساتئ
د ډیکریپټ شوي اپلیکیشن سرچینې ژباړه د IKE یا خوندي پاکټونو د پورتنۍ NAT وسیلې له لارې د فشارولو په څیر عمل نه دی. لومړی بدلوي چې انټرنیټ د کلاینټ غوښتنې سرچینه څه ګوري؛ دویم د منځګړي وسیلې له لارې تونل ژوندی ساتي.
د دوی ګډول دوه کلاسیکې ناکامۍ رامنځته کوي. هغه روټر چې خپل تونل ترانسپورت ژباړي د همکار اړیکه ماتوي، پداسې حال کې چې هغه روټر چې داخلي بهیر هېڅکله نه ژباړي خصوصي پتې انټرنیټ ته لېږي. د یوې قاعدې د سمولو مخکې ولولئ چې کوم بهیر ګورئ، او وګورئ چې د بدلون وروسته تونل ولاړ پاتې شو که نه. هغه قاعده چې براوزینګ سم کړي او تونل وغورځوي، ستونزه یې حل کړې نه ده بلکې لېږدولې ده.
هیڅ ناکامي د بلې په بدلولو سره نه سمېږي. د یوې قاعدې د سمولو مخکې ولولئ چې کوم بهیر ګورئ.
په دواړو پولو کې تایید کړئ
د انټرنیټ په پوله اپلیکیشن سرچینه ولولئ، او د بیرته راستنېدو په برخه کې بحال شوی منزل ولولئ. لومړی وایي چې ژباړه وشوه که نه؛ دویم وایي چې پخوانی نقشه سم کلاینټ ته بیرته راغله که نه.
بیا هغه کلاینټ وآزمویئ چې تصویب شوې ویشل شوې تونل لار کاروي. هغه کلاینټ د دې روټر انټرنیټ ژباړه هېڅکله نه کاروي، نو باید بل ډول چلند وکړي، او توپیر تاییدوي چې ترافیک کومه لار واخیسته.
که دواړه کلاینټونه یو شان چلند وکړي، د ویشل شوې تونل تګلاره هغه نه کوي چې ډیزاین یې وایي. د نورو ژباړې قواعدو د زیاتولو مخکې هغه سم کړئ، ځکه چې د نه کارول شوې لار لپاره لیکل شوې قاعده ریښتینې ستونزه پټوي.