FortiGate za NAT: local-gw, localid in javni IP

FortiGate za NAT lahko ima 10.0.0.2 na svojem vmesniku WAN, medtem ko ga internet predstavlja kot 198.51.100.40, in obe števili sta resnični. Naslov, na katerega se naprava veže, in identiteta, ki jo pošilja med preverjanjem IKE, sta ločeni odločitvi, sprejeti v ločenih poljih, za ločeno občinstvo. NAT prepiše zunanje naslavljanje na poti; ne prepiše preverjene identitete v tisto, kar pričakuje oddaljeni peer. Večina napak faze 1 v tej obliki izhaja iz vstavljanja pravilne vrednosti v napačno polje.

Tri vrednosti, trije lastniki

Začnite z poimenovanjem treh vrednosti in kdo ima vsako. local-gw je naslov, ki ga FortiGate uporablja kot vir za IKE na zunanjem vmesniku, in mora biti naslov, ki ga naprava resnično ima. Javna končna točka je naslov naprave NAT in pripada tistemu, ki izvaja prevajanje. Identiteta IKE je niz, ki ga peer primerja z lastno konfiguracijo, in sploh ni nujno, da je naslov IP.

Imena polj so dovolj blizu, da vabijo k zamenjavi, in to je past. localid in localid-type opisujeta identifikacijo; local-gw opisuje lokalno vezavo.

Primer naredi razliko konkretno. Na FortiGate odprite config vpn ipsec phase1-interface, nato set interface "wan1" in set local-gw 10.0.0.2 — naslov, ki ga ima škatla, in prav to omogoči, da se vtičnica IKE uspešno veže. Pustite local-gw na 0.0.0.0 in uporabi se naslov vmesnika, kar je običajno isto, a manj izrecno. Ne nastavite local-gw na 198.51.100.40, ker naprava tega naslova nima in vtičnica se nanj ne bo vezala. Dve vrednosti narediti na papirju enaki ni konfiguracija.

Korak 1: izberite identiteto, ki jo bo peer sprejel

Zdaj identiteta, kar je druga odločitev. set localid vzame vrednost, ki jo bo peer primerjal, in set localid-type pove FortiGate, kako jo razlagati: naslov, FQDN, uporabniški FQDN ali ID ključa. Z auto jo naprava izpelje, običajno iz naslova odhodnega vmesnika, kar je natanko vrednost, ki jo naprava NAT namerava spremeniti.

Prav ta izpeljava je razlog, da je v tej topologiji pomembna izrecna identiteta. Če peer pričakuje naslovno identiteto, nastavite localid-type address in localid na javni naslov, ki ga bo peer videl, nato potrdite, da peer to vrednost sprejme kot identiteto in ne kot cilj usmerjanja. Če peer pričakuje FQDN, uporabite localid-type fqdn in ime, s katerim je bil konfiguriran. Preverite, kaj je bilo dejansko poslano, s diagnose vpn ike gateway list, ki prikazuje stanje prehoda in uporabljene identifikatorje, ne tega, kar ste nameravali vtipkati. Ne predpostavljajte, da možnost vrste identitete sprejema poljuben nelokalni naslov; najprej preverite dokumentirano semantiko izdaje.

Korak 2: preusmerite UDP 500 in 4500 na napravo

Tretja vrednost pripada napravi NAT in to je tista, ki jo ljudje pozabijo preveriti. Javna končna točka mora preusmerjati UDP 500 in UDP 4500 na FortiGate, ker zaznavanje NAT-T in zapakirani ESP, ki sledi, oba odvisna od prihoda teh vrat. Ta zasnova predpostavlja preslikavo ena na ena; deljenje enega javnega naslova po vratih med več peer-i je druga topologija z drugimi omejitvami.

Potrdite preusmerjanje s zajemom, ne z upanjem: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 prikazuje, ali paketi prihajajo in ali odgovori odhajajo.

Google Cloud VPN dokumentira NAT ena na ena z NAT-T kot podprto ureditev za peer za NAT, in to je omejitev, proti kateri je treba načrtovati, če je oddaljena stran prehod Cloud VPN. Deljenje ena na mnogo ali po vratih ni ista podprta topologija in nobeno lokalno prilagajanje identitete tega ne spremeni. Če je oddaljena stran druga naprava, njena lastna dokumentacija določa, kaj bo sprejela kot identiteto in ali dopušča preveden naslov peer-a. Preberite to, preden spremenite lokalno polje, ker lokalna stran ne more izpogajati pravila, ki ga oddaljena stran ne izvaja.

Korak 3: preverite, česa faza 1 ne reši

Prehod skozi NAT dvigne tunel, soglasje o identiteti odloči, ali ga peer sprejme, in usmerjanje notranjega predpone odloči, kaj dejansko preide. Pravilen lokalni ID ne more zagotoviti manjkajoče statične poti ali manjkajočega izbirnika prometa.

Zato preverjajte po plasteh. get vpn ipsec tunnel details prikazuje, ali je tunel dvignjen in kateri izbirniki so bili izpogajani, in neskladje med konfigurirano oddaljeno podomrežjem in izpogajanim izbirnikom je problem usmerjanja v kostumu faze 2. execute vpn ike gateway clear prisili novo pogajanje, zato preizkušate trenutno konfiguracijo in ne seje, vzpostavljene pred vašo zadnjo spremembo. Nato pošljite promet na gostitelja v oddaljeni predponi in potrdite, da se števci premikajo, ker tunel, ki je dvignjen in ne spusti ničesar skozi, izgleda enako kot delujoč, dokler ne preverite.

Tri vrednosti hranite na enem mestu v svojih zapiskih: lokalni naslov, ki ga ima naprava, javno končno točko, ki jo predstavlja naprava NAT, in niz identitete, ki ga pričakuje peer. Spreminjajo se iz različnih razlogov in ob različnih časih.

Prenumeriranje naprave NAT ni razlog za dotik local-gw na FortiGate, in sprememba identitete ni razlog za prenumeriranje česarkoli. Mešanje obojega je način, kako se delujoč tunel ponovno zgradi med nepovezanim oknom vzdrževanja. Smernice Cloud VPN za NAT so referenca za podprto topologijo na tisti strani.

Preizkus, ki to razreši, je dolgočasen in hiter: zajemite na zunanjem vmesniku, potrdite, da UDP 500 in 4500 prihajata od peer-a, potrdite, da se identiteta v izmenjavi IKE ujema s tem, kar je bil peer konfiguriran pričakovati, nato potrdite, da izpogajani izbirniki pokrivajo podomrežja, ki so vam pomembna. Če prvo preverjanje ne uspe, je osumljenec naprava NAT. Če drugo, so to polja identitete. Če tretje, potem NAT ali identiteta nikoli nista bila problem.