VPN med lokacijama v Azure s partnerjem za NAT: kontrolni seznam

Izvedite ta preverjanja po vrsti in ustavite se pri prvem, ki ne uspe. Večina poročil, da Azure ne podpira naprave za NAT, se izkaže za naslov partnerja, ki ga Azure ne doseže, ali za tunel, ki se nikoli ne začne z prave strani. Zunanji transport in notranje usmerjanje sta dve različni težavi, njuno mešanje pa stane popoldne. Vsak spodnji korak da opažanje, ki ga lahko predate nekomu drugemu.

Korak 1: potrdite, da je partner sploh za NAT

Primerjajte naslov na WAN vmesniku naprave z naslovom, ki ga Azure vidi zanjo. Če se razlikujeta, nekaj prevaja, in ta prevajalnik je zdaj del vaše zasnove VPN. Vprašajte ponudnika, ali je preslikava statična ali deljena, ker deljena preslikava spremeni, na kar se lahko zanesete. Naprava z zasebnim naslovom WAN in brez posredovanja je drug primer kot naprava za NAT na operaterski ravni s stabilno javno preslikavo.

Če se naslova ujemata, se ustavite tukaj: NAT ni vaša težava in preostanek seznama ne bo pomagal.

Zapišite oba naslova in model prevajalnika v zahtevek. Ta ena vrstica prepreči naslednji krog vprašanj, zakaj nastavljeni partner ne odgovarja.

Korak 2: dogovorite se, kdo začne

Pogosta vprašanja o Azure VPN Gateway navajajo podporo za NAT-T in dodajajo, da mora lokalna naprava začeti tunel IPsec, ko je za NAT. To ustreza delovanju prevajanja s stanjem, saj prevajalnik hrani preslikavo zato, ker je notranja naprava poslala prvi paket. Če se pričakuje, da bo začel Azure, in nič ne prispe, da bi ustvarilo to preslikavo, se tunel nikoli ne začne.

Nastavite partnerja tako, da bo napaka samo-odgovarjajoče strani očitna, in preverite, ali se naprava poskusi znova sama ali potrebuje sprožilec. Nekatere naprave dvignejo tunel šele, ko se pojavi zanimiv promet, kar je v redu, dokler zanimiv promet ni zdravstvena preverba, ki nikoli ne pride.

Opazujte izmenjavo IKE na napravi med ročnim zagonom; tišina tam je odgovor usmerjanja ali požarnega zidu, ne odgovor Azure.

Korak 3: pravilno nastavite naslov partnerja

Azure potrebuje dosegljiv javni naslov partnerja v objektu krajevnega omrežnega prehoda, običajno javni naslov prevajalnika namesto notranjega naslova naprave. Identiteta, s katero se naprava preverja, je ločeno polje in se lahko zakonito razlikuje od naslova, na katerega Azure kliče. Držite ju ločeno, ker njuna zamenjava ustvari napako preverjanja pristnosti, ki je videti natanko kot težava z NAT.

Če se javni naslov spremeni, se mora ta objekt spremeniti z njim. Ime, ki se razreši na zastarel naslov, je slabše od statičnega naslova, ki ga morate posodobiti ročno.

Zapišite vse tri vrednosti: krajevni naslov naprave, prevedeni javni naslov in nastavljeno identiteto partnerja.

Korak 4: odprite samo vrata, ki jih NAT-T potrebuje

NAT-T prenaša ESP znotraj UDP, RFC 3948 pa opisuje to enkapsulacijo z vrati 4500, ki se uporabljajo po začetnih pogajanjih na vratih 500. Vaš požarni zid in prevajalnik morata oba dovoliti izmenjavo in njen povratni promet. Dovoljenje nepovezanih vrat TCP ne dokaže ničesar o tej poti, pravilo, ki dovoli odhodno, ne pa odgovora, pa bo še vedno spodletelo.

Statično posredovanje vhodnih vrat ni samodejno potrebno, ko partner začne in prevajalnik hrani stanje. Potrebno postane, ko je preslikava nestabilna ali ko nekaj na poti agresivno izteče stanje.

Zajemite enkrat na obeh straneh prevajalnika; razlika v enkapsulaciji je takoj vidna.

Korak 5: ločite zunanji transport od notranjega usmerjanja

Tunel, ki se vzpostavi in ničesar ne prenaša, je težava usmerjanja, ne NAT-T. Lokacije še vedno potrebujejo združljive izbirnike prometa, ustrezne naslovne prostore, pravila dostopa in povratno pot za aplikacijska omrežja. Ničesar od tega ne zagotovi uspešna izmenjava IKE.

Če obe lokaciji uporabljata prekrivajoče se zasebne razpone, je prevajanje znotraj tunela ločena zasnova z lastnimi pravili. Ne preštevilčite podomrežja samo zato, ker zunanji prehod stoji za domačim usmerjevalnikom.

Preden kar koli spremenite, razvrstite okvaro po stopnji in to razvrstitev obdržite v zahtevku, da bo naslednja oseba začela tam, kjer ste vi končali.