Ktoré rozhranie dostane rolu NAT zvnútra a zvonka na výstupe IOS VPN
Sledujte dešifrovaný paket klienta od virtuálneho rozhrania po nadradené spojenie. Preklad patrí tomuto vnútornému toku, nie vonkajšiemu transportu tunela.
Smerovače, ktoré poskytujú internetový výstup cez plný tunel, vykonávajú dve činnosti, ktoré vyzerajú ako jedna. Ukončí tunel a prepošle dešifrovaný paket klienta do internetu. Preklad potrebuje len druhá činnosť a preklad musí zodpovedať vnútornému toku. Tento rozdiel určuje, ktoré rozhrania nesú roly NAT a aký rozsah adries sa objaví v pravidle.
Sledujte jeden paket cez smerovač
Vezmite klienta na 10.90.0.25, ktorý otvára verejnú službu HTTPS. Či sa toto cieľové miesto vôbec dostane do tunela, je rozhodnutie politiky samotného klienta. Keď sa dostane, smerovač dešifruje paket a doručí ho virtuálnemu rozhraniu, odkiaľ sa smeruje do verejného nadradeného spojenia.
Toto virtuálne rozhranie je vnútorná strana prekladu. Verejné nadradené spojenie je vonkajšia strana. Ak sú roly obrátené alebo chýbajú, paket buď odchádza so súkromným zdrojom, alebo sa zahodí pred prekladom.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Zosúlaďte politiku prekladu s bazénom klientov
Pravidlo NAT musí uvádzať rozsah, ktorý klienti skutočne dostávajú, nie kancelársku LAN, ktorá náhodou zdieľa nadradené spojenie. Pravidlo pokrývajúce iba lokálnu podsieť vynecháva vzdialených klientov, aj keď obaja vychádzajú cez to isté rozhranie.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadVýnimky pre súkromné stránky držte oddelene. Prevádzka k vnútorným cieľom si musí zachovať svoj pôvodný zdroj, inak cieľ odpovie na adresu, na ktorú sa nedostane, a spätná vetva zlyhá spôsobom, ktorý vyzerá ako smerovacia slučka.
Aplikujte roly na skutočné rozhrania v nasadenom návrhu. Fragment Virtual-Template skopírovaný zo starej odpovede Easy VPN nie je úplná aktuálna konfigurácia a použitý typ tunela určuje, ktoré rozhranie prijíma dešifrovaný paket.
Držte vonkajší transport a vnútorný preklad oddelene
Preklad dešifrovaného zdroja aplikácie nie je tá istá operácia ako pretláčanie IKE alebo chránených paketov cez zariadenie NAT vyššie. Prvý mení to, čo internet vidí ako zdroj požiadavky klienta; druhý udržiava tunel živý cez sprostredkujúce zariadenie.
Ich zámena prináša dva klasické zlyhania. Smerovač, ktorý prekladá vlastný transport tunela, narúša vzťah s peerom, zatiaľ čo smerovač, ktorý nikdy neprekladá vnútorný tok, posiela súkromné adresy do internetu. Prečítajte si, na ktorý tok sa pozeráte, skôr než upravíte pravidlo, a skontrolujte, či tunel po zmene zostal hore. Pravidlo, ktoré opraví prehliadanie a zhodí tunel, problém presunulo namiesto toho, aby ho vyriešilo.
Žiadne zlyhanie sa neopraví zmenou toho druhého. Prečítajte si, na ktorý tok sa pozeráte, skôr než upravíte pravidlo.
Overte na oboch hraniciach
Prečítajte zdroj aplikácie na hranici internetu a obnovený cieľ na spätnej vetve. Prvé hovorí, či preklad nastal; druhé hovorí, či sa obrátené mapovanie vrátilo správnemu klientovi.
Potom otestujte klienta, ktorý používa schválenú cestu rozdeleného tunela. Ten klient nikdy nevyužíva internetový preklad tohto smerovača, takže by sa mal správať inak, a rozdiel potvrdzuje, ktorou cestou prevádzka išla.
Ak sa obaja klienti správajú rovnako, politika rozdeleného tunela nerobí to, čo hovorí návrh. Opravte to pred pridaním ďalších pravidiel prekladu, pretože pravidlo napísané pre nepoužívanú cestu skrýva skutočný problém.