VPN medzi lokalitami v Azure s partnerom za NAT: kontrolný zoznam

Vykonajte tieto kontroly v poradí a zastavte sa na prvej, ktorá zlyhá. Väčšina hlásení, že Azure nepodporuje zariadenie za NAT, sa nakoniec ukáže ako adresa partnera, na ktorú sa Azure nedostane, alebo tunel, ktorý sa nikdy neiniciuje zo správnej strany. Vonkajší transport a vnútorné smerovanie sú dva rôzne problémy a ich miešanie stojí popoludnie. Každý krok nižšie dáva pozorovanie, ktoré môžete odovzdať niekomu inému.

Krok 1: overte, že partner je vôbec za NAT

Porovnajte adresu na WAN rozhraní zariadenia s adresou, ktorú preň Azure vidí. Ak sa líšia, niečo prekladá, a ten prekladač je teraz súčasťou vášho návrhu VPN. Spýtajte sa poskytovateľa, či je mapovanie statické alebo zdieľané, pretože zdieľané mapovanie mení to, na čo sa môžete spoľahnúť. Zariadenie s privátnou WAN adresou a bez presmerovania je iný prípad než zariadenie za NAT operátorskej úrovne so stabilným verejným mapovaním.

Ak sa obe adresy zhodujú, zastavte sa tu: NAT nie je váš problém a zvyšok zoznamu nepomôže.

Zapíšte obe adresy a model prekladača do tiketu. Ten jeden riadok zabráni ďalšiemu kolu otázok, prečo nakonfigurovaný partner neodpovedá.

Krok 2: dohodnite sa, kto iniciuje

Časté otázky k Azure VPN Gateway uvádzajú podporu NAT-T a dodávajú, že miestne zariadenie má iniciovať tunel IPsec, keď je za NAT. To zodpovedá tomu, ako funguje preklad so stavom, pretože prekladač drží mapovanie preto, že vnútorné zariadenie poslalo prvý paket. Ak sa očakáva, že iniciuje Azure, a nič neprichádza, aby to mapovanie vytvorilo, tunel nikdy nezačne.

Nakonfigurujte partnera tak, aby chyba iba-odpovedajúcej strany bola zrejmá, a skontrolujte, či zariadenie skúša znova samo alebo potrebuje podnet. Niektoré zariadenia zdvihnú tunel len vtedy, keď sa objaví zaujímavá prevádzka, čo je v poriadku, kým zaujímavou prevádzkou nie je zdravotná sonda, ktorá nikdy nepríde.

Sledujte výmenu IKE na zariadení počas ručného spustenia; ticho tam je odpoveď smerovania alebo firewallu, nie odpoveď Azure.

Krok 3: nastavte adresu partnera správne

Azure potrebuje dostupnú verejnú adresu partnera v objekte miestnej sieťovej brány, zvyčajne verejnú adresu prekladača, nie vnútornú adresu zariadenia. Identita, ktorou sa zariadenie autentizuje, je samostatné pole a môže sa oprávnene líšiť od adresy, na ktorú Azure volá. Držte ich oddelene, pretože ich zámena vytvára chybu overovania, ktorá vyzerá presne ako problém s NAT.

Ak sa verejná adresa zmení, ten objekt sa musí zmeniť spolu s ňou. Meno, ktoré sa prekladá na zastaranú adresu, je horšie než statická adresa, ktorú musíte aktualizovať ručne.

Zapíšte všetky tri hodnoty: miestnu adresu zariadenia, preloženú verejnú adresu a nakonfigurovanú identitu partnera.

Krok 4: otvorte len porty, ktoré NAT-T potrebuje

NAT-T prenáša ESP vo vnútri UDP a RFC 3948 opisuje toto zapuzdrenie s portom 4500 používaným po počiatočnom vyjednávaní na porte 500. Váš firewall aj prekladač musia povoliť výmenu aj jej spätnú prevádzku. Povolenie nesúvisiaceho TCP portu nič nedokazuje o tejto ceste a pravidlo, ktoré povoľuje odchádzajúcu prevádzku ale nie odpoveď, stále zlyhá.

Statické presmerovanie prichádzajúceho portu nie je automaticky potrebné, keď partner iniciuje a prekladač drží stav. Potrebné je vtedy, keď je mapovanie nestabilné alebo keď niečo na ceste agresívne končí stav.

Zachytte raz na oboch stranách prekladača; rozdiel v zapuzdrení je okamžite viditeľný.

Krok 5: oddeľte vonkajší transport od vnútorného smerovania

Tunel, ktorý sa nadviaže a nič neprenáša, je problém smerovania, nie NAT-T. Lokality stále potrebujú kompatibilné selektory prevádzky, zhodné adresné priestory, pravidlá prístupu a spätnú cestu pre sieť aplikácií. Nič z toho neposkytuje úspešná výmena IKE.

Ak obe lokality používajú prekrývajúce sa privátne rozsahy, preklad vnútri tunela je samostatný návrh s vlastnými pravidlami. Neprečíslujte podsieť len preto, že vonkajšia brána náhodou stojí za domácim routerom.

Skôr než čokoľvek zmeníte, klasifikujte zlyhanie podľa etapy a túto klasifikáciu ponechajte v tikete, aby ďalší človek začal tam, kde ste vy skončili.