Koji interfejs dobija unutrašnju, a koji spoljašnju NAT ulogu na izlazu IOS VPN
Pratite dešifrovani paket klijenta od virtuelnog interfejsa do uzvodnog linka. Prevođenje pripada ovom unutrašnjem toku, a ne spoljašnjem transportu tunela.
Ruteri koji obezbeđuju izlaz na internet kroz pun tunel obavljaju dva posla koja izgledaju kao jedan. On završava tunel i prosleđuje dešifrovani paket klijenta na internet. Samo drugi posao zahteva prevođenje, i prevođenje mora da odgovara unutrašnjem toku. Ta razlika određuje koji interfejsi nose NAT uloge i koji opseg adresa se pojavljuje u pravilu.
Pratite jedan paket kroz ruter
Uzmite klijenta na 10.90.0.25 koji otvara javnu HTTPS uslugu. Da li ta destinacija uopšte ulazi u tunel, odluka je politike samog klijenta. Kada uđe, ruter dešifruje paket i dostavlja ga virtuelnom interfejsu, odakle se usmerava ka javnom uzvodnom linku.
Taj virtuelni interfejs je unutrašnja strana prevođenja. Javni uzvodni link je spoljašnja strana. Ako su uloge obrnute ili nedostaju, paket ili izlazi sa privatnim izvorom, ili se odbacuje pre nego što bude preveden.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Uskladite politiku prevođenja sa bazenom klijenata
NAT pravilo mora da imenuje opseg koji klijenti zaista dobijaju, a ne kancelarijski LAN koji slučajno deli uzvodni link. Pravilo koje pokriva samo lokalnu podmrežu propušta udaljene klijente čak i kada oba izlaze kroz isti interfejs.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadIzuzeća za privatne lokacije držite odvojeno. Saobraćaj ka unutrašnjim destinacijama mora da zadrži svoj izvorni izvor, inače će destinacija odgovoriti na adresu do koje ne može da stigne i povratni krak će pasti tako da izgleda kao petlja usmeravanja.
Primenite uloge na stvarne interfejse u raspoređenom dizajnu. Fragment Virtual-Template iskopiran iz starog odgovora za Easy VPN nije potpuna aktuelna konfiguracija, a tip tunela koji se koristi određuje koji interfejs prima dešifrovani paket.
Držite spoljašnji transport i unutrašnje prevođenje odvojeno
Prevođenje dešifrovanog izvora aplikacije nije ista operacija kao guranje IKE ili zaštićenih paketa kroz NAT uređaj iznad. Prvo menja ono što internet vidi kao izvor klijentovog zahteva; drugo održava tunel živim kroz posrednički uređaj.
Njihovo mešanje daje dva klasična otkaza. Ruter koji prevodi sopstveni tunelski transport krši odnos sa partnerom, dok ruter koji nikada ne prevodi unutrašnji tok prosleđuje privatne adrese na internet. Pročitajte koji tok gledate pre nego što uredite pravilo i proverite da li je tunel ostao podignut posle promene. Pravilo koje popravlja pregledanje a obara tunel premestilo je problem umesto da ga reši.
Nijedan od dva otkaza ne otklanja se promenom drugog. Pročitajte koji tok gledate pre nego što uredite pravilo.
Proverite na obe granice
Pročitajte izvor aplikacije na internet granici i vraćenu destinaciju na povratnom kraku. Prvo govori da li se prevođenje dogodilo; drugo govori da li se obrnuto mapiranje vratilo pravom klijentu.
Zatim testirajte klijenta koji koristi odobrenu putanju razdvojenog tunela. Taj klijent nikada ne koristi internet prevođenje ovog rutera, pa bi trebalo da se ponaša drugačije, a razlika potvrđuje kojom putanjom je saobraćaj išao.
Ako se oba klijenta ponašaju isto, politika razdvojenog tunela ne radi ono što dizajn kaže. Popravite to pre nego što dodate još pravila prevođenja, jer pravilo napisano za putanju koja se ne koristi skriva pravi problem.