NAT පිටුපස FortiGate: local-gw, localid සහ පොදු IP

NAT පිටුපස ඇති FortiGate එකකට එහි WAN අතුරුමුහුණතේ 10.0.0.2 තිබිය හැක, නමුත් අන්තර්ජාලය එය 198.51.100.40 ලෙස ඉදිරිපත් කරයි, සහ අංක දෙකම සැබෑය. උපාංගය බැඳෙන ලිපිනය සහ IKE සත්‍යාපනයේදී එය යවන අනන්‍යතාවය වෙන වෙනම තීරණ වන අතර, වෙන වෙනම ක්ෂේත්‍රවල, වෙන වෙනම ප්‍රේක්ෂකයන් සඳහා ගනු ලැබේ. NAT මාර්ගයේදී බාහිර ලිපිනකරණය නැවත ලියයි; සත්‍යාපිත අනන්‍යතාවය දුරස්ථ සමානයා බලාපොරොත්තු වන දෙයට නැවත ලියන්නේ නැත. මෙම ස්වරූපයේ බොහෝ අදියර 1 අසාර්ථකතා පැන නගින්නේ නිවැරදි අගය වැරදි ක්ෂේත්‍රයේ තැබීමෙනි.

අගයන් තුනක්, හිමිකරුවන් තුනක්

අගයන් තුන සහ එක් එක් අගයේ හිමිකරු කවුරුන්ද යන්න නම් කරමින් ආරම්භ කරන්න. local-gw යනු FortiGate එහි බාහිර අතුරුමුහුණතේ IKE සඳහා මූලාශ්‍රය ලෙස භාවිත කරන ලිපිනය වන අතර එය උපාංගයට සැබවින්ම ඇති ලිපිනයක් විය යුතුය. පොදු අන්ත ලක්ෂ්‍යය යනු NAT උපාංගයේ ලිපිනය වන අතර එය පරිවර්තනය කරන්නා සතුය. IKE අනන්‍යතාවය යනු සමානයා තමන්ගේම වින්‍යාසය සමඟ සසඳන තන්තුවක් වන අතර එය IP ලිපිනයක් වීම අවශ්‍යම නැත.

ක්ෂේත්‍රවල නම් ආදේශනයට ආරාධනා කරන තරම් සමීපය, සහ එයම උගුලයි. localid සහ localid-type හඳුනාගැනීම විස්තර කරයි; local-gw දේශීය බැඳීම විස්තර කරයි.

උදාහරණයක් වෙනස ස්පෂ්ට කරයි. FortiGate හි config vpn ipsec phase1-interface විවෘත කරන්න, පසුව set interface "wan1" සහ set local-gw 10.0.0.2 — පෙට්ටියට ඇති ලිපිනය, සහ මෙයම IKE සොකට් එක සාර්ථකව බැඳීමට හේතු වේ. local-gw 0.0.0.0 මත තැබුවොත් අතුරුමුහුණතේ ලිපිනය භාවිත වේ, එය සාමාන්‍යයෙන් එකම දෙයක් වුවත් අඩු පැහැදිලිය. local-gw 198.51.100.40 ට සකසන්න එපා, මන්ද උපාංගයට එම ලිපිනය නැති අතර සොකට් එයට බැඳෙන්නේ නැත. අගයන් දෙකක් කඩදාසි මත සමාන ලෙස පෙනීම වින්‍යාසයක් නොවේ.

පියවර 1: සමානයා පිළිගන්නා අනන්‍යතාවය තෝරන්න

දැන් අනන්‍යතාවය, එය වෙනස් තීරණයකි. set localid සමානයා සසඳන අගය ගනී, සහ set localid-type FortiGate ට එය අර්ථ නිරූපණය කරන ආකාරය කියයි: ලිපිනයක්, FQDN එකක්, පරිශීලක FQDN එකක් හෝ යතුරු ID එකක්. auto සමඟ උපාංගය එය ව්‍යුත්පන්න කරයි, සාමාන්‍යයෙන් පිටවන අතුරුමුහුණතේ ලිපිනයෙන්, එය NAT උපාංගය වෙනස් කීමට යන අගයම වේ.

මෙම ව්‍යුත්පන්නය නිසා මෙම ටොපොලොජියේ පැහැදිලි අනන්‍යතාවය වැදගත් වේ. සමානයා ලිපින අනන්‍යතාවයක් බලාපොරොත්තු වන්නේ නම්, localid-type address සහ localid සමානයා දකින පොදු ලිපිනයට සකසන්න, පසුව සමානයා එම අගය රවුටිං ඉලක්කයක් ලෙස නොව අනන්‍යතාවයක් ලෙස පිළිගන්නා බව තහවුරු කරන්න. සමානයා FQDN එකක් බලාපොරොත්තු වන්නේ නම්, localid-type fqdn සහ එය වින්‍යාස කළ නම භාවිත කරන්න. සැබවින්ම යවා ඇත්තේ කුමක්ද යන්න diagnose vpn ike gateway list මගින් තහවුරු කරන්න, එය ගේට්වේ තත්ත්වය සහ භාවිතයේ ඇති හඳුනාගැනීම් පෙන්වයි, ඔබ ටයිප් කිරීමට අදහස් කළ දෙය නොවේ. අනන්‍යතා වර්ගයේ විකල්පයක් ඕනෑම දේශීය නොවන ලිපිනයක් පිළිගනී යැයි උපකල්පනය නොකරන්න; පළමුව නිකුතුවේ ලේඛනගත අර්ථය පරීක්ෂා කරන්න.

පියවර 2: UDP 500 සහ 4500 උපාංගයට යොමු කරන්න

තුන්වන අගය NAT උපාංගයට අයත් වන අතර මිනිසුන් පරීක්ෂා කිරීමට අමතක කරන දෙය එයයි. පොදු අන්ත ලක්ෂ්‍යය UDP 500 සහ UDP 4500 FortiGate වෙත යොමු කළ යුතුය, මන්ද NAT-T හඳුනාගැනීම සහ ඉන් පසු එන එන්කැප්සුලේටඩ් ESP දෙකම මෙම වරායන් පැමිණීම මත රඳා පවතී. මෙම නිර්මාණය එකින් එකට සිතියම්කරණයක් උපකල්පනය කරයි; එක් පොදු ලිපිනයක් සමානයන් කිහිපයක් අතර වරාය අනුව බෙදා ගැනීම වෙනස් සීමා ඇති වෙනස් ටොපොලොජියකි.

යොමු කිරීම අල්ලා ගැනීමකින් තහවුරු කරන්න, බලාපොරොත්තුවකින් නොව: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 පැකට් පැමිණෙන්නේද පිළිතුරු පිටවෙන්නේද යන්න පෙන්වයි.

Google Cloud VPN NAT පිටුපස සමානයා සඳහා ආධාරක විධිවිධානය ලෙස NAT-T සමඟ එකින් එකට NAT ලේඛනගත කරයි, සහ දුරස්ථ කෙළවර Cloud VPN ගේට්වේ එකක් නම් මෙම සීමාවට එරෙහිව නිර්මාණය කළ යුතුය. එකින් බොහෝ දෙනාට හෝ වරාය අනුව බෙදා ගැනීම එම ආධාරක ටොපොලොජිය නොවේ, සහ දේශීය අනන්‍යතා සීරුමාරු කිරීමකින් එය වෙනස් නොවේ. දුරස්ථ පැත්ත වෙනත් උපාංගයක් නම්, එහිම ලේඛන අනන්‍යතාවය ලෙස එය පිළිගන්නා දෙය සහ පරිවර්තිත සමානයා ලිපිනය ඉවසන්නේද යන්න නිර්ණය කරයි. දේශීය ක්ෂේත්‍රයක් වෙනස් කිරීමට පෙර එය කියවන්න, මන්ද දුරස්ථ පැත්ත ක්‍රියාත්මක නොකරන නියමයක් දේශීය පැත්තට සාකච්ඡා කළ නොහැක.

පියවර 3: අදියර 1 විසඳන්නේ නැති දේ පරීක්ෂා කරන්න

NAT තරණය උමං ඉහළ නංවයි, අනන්‍යතා එකඟතාවය සමානයා එය පිළිගන්නවාද යන්න තීරණය කරයි, සහ අභ්‍යන්තර පූර්ව ලකුණු රවුටිං ඇත්තටම ගමන් කරන දෙය තීරණය කරයි. නිවැරදි දේශීය ID එකකට අස්ථානගත ස්ථිති මාර්ගයක් හෝ අස්ථානගත රථවාහන තෝරකයක් සැපයිය නොහැක.

එබැවින් ස්තර අනුව තහවුරු කරන්න. get vpn ipsec tunnel details උමං ඉහළ තිබේද සහ කුමන තෝරක සාකච්ඡා වී ඇත්ද පෙන්වයි, සහ වින්‍යාස කළ දුරස්ථ උපජාලය සහ සාකච්ඡා කළ තෝරකය අතර නොගැලපීම අදියර 2 ඇඳුමකින් යුත් රවුටිං ගැටලුවකි. execute vpn ike gateway clear නැවත සාකච්ඡා කිරීමට බල කරයි, එබැවින් ඔබ වර්තමාන වින්‍යාසය පරීක්ෂා කරයි, ඔබේ අවසාන වෙනසට පෙර ස්ථාපිත සැසිය නොවේ. පසුව දුරස්ථ පූර්ව ලකුණේ සත්කාරකයකට රථවාහන යවා ගණන් කරන්නන් චලනය වන බව තහවුරු කරන්න, මන්ද ඉහළ තිබී කිසිවක් ගමන් නොකරන උමං එකක් පරීක්ෂා කරන තෙක් ක්‍රියාකාරී එකක් මෙන්ම පෙනේ.

අගයන් තුන ඔබේ සටහන්වල එකම තැනක තබා ගන්න: උපාංගයට ඇති දේශීය ලිපිනය, NAT උපාංගය ඉදිරිපත් කරන පොදු අන්ත ලක්ෂ්‍යය, සහ සමානයා බලාපොරොත්තු වන අනන්‍යතා තන්තුව. ඒවා විවිධ හේතූන් නිසා සහ විවිධ වේලාවන්හිදී වෙනස් වේ.

NAT උපාංගය නැවත අංකනය කිරීම FortiGate හි local-gw ස්පර්ශ කිරීමට හේතුවක් නොවේ, සහ අනන්‍යතාවය වෙනස් කිරීම කිසිවක් නැවත අංකනය කිරීමට හේතුවක් නොවේ. දෙකම මිශ්‍ර කිරීම සම්බන්ධ නොවන නඩත්තු කවුළුවක් තුළ ක්‍රියාකාරී උමං නැවත ගොඩනඟන ආකාරයයි. Cloud VPN NAT මාර්ගෝපදේශය එම පැත්තේ ආධාරක ටොපොලොජිය සඳහා යොමුවයි.

මෙය තීරණය කරන පරීක්ෂණය ඒකාකාරී හා වේගවත් ය: බාහිර අතුරුමුහුණතේ අල්ලා ගැනීමක් කරන්න, සමානයාගෙන් UDP 500 සහ 4500 පැමිණෙන බව තහවුරු කරන්න, IKE හුවමාරුවේ අනන්‍යතාවය සමානයා බලාපොරොත්තු වීමට වින්‍යාස කළ දෙයට ගැලපෙන බව තහවුරු කරන්න, පසුව සාකච්ඡා කළ තෝරක ඔබට වැදගත් උපජාල ආවරණය කරන බව තහවුරු කරන්න. පළමු පරීක්ෂාව අසාර්ථක නම්, සැකකරු NAT උපාංගයයි. දෙවැන්න අසාර්ථක නම්, අනන්‍යතා ක්ෂේත්‍රයන් ය. තෙවැන්න අසාර්ථක නම්, NAT හෝ අනන්‍යතාවය කිසිදා ගැටලුවක් නොවීය.