Kateri vmesnik dobi vlogo NAT znotraj in zunaj na izhodu IOS VPN
Sledite dešifriranemu paketu odjemalca od navideznega vmesnika do nadrejene povezave. Prevajanje spada v ta notranji tok, ne v zunanji promet tunela.
Usmerjevalniki, ki zagotavljajo internetni izhod s polnim tunelom, opravljajo dve nalogi, ki izgledata kot ena. Zaključi tunel in posreduje dešifriran paket odjemalca v internet. Prevajanje potrebuje le druga naloga, prevajanje pa se mora ujemati z notranjim tokom. Ta razlika določa, kateri vmesniki nosijo vloge NAT in katero območje naslovov se pojavi v pravilu.
Sledite enemu paketu skozi usmerjevalnik
Vzemite odjemalca na 10.90.0.25, ki odpira javno storitev HTTPS. Ali ta cilj sploh vstopi v tunel, je odločitev politike odjemalca samega. Ko vstopi, usmerjevalnik dešifrira paket in ga dostavi navideznemu vmesniku, od koder se usmeri v javno nadrejeno povezavo.
Ta navidezni vmesnik je notranja stran prevajanja. Javna nadrejena povezava je zunanja stran. Če sta vlogi obrnjeni ali manjkata, paket bodisi odide z zasebnim virom bodisi se zavrže, preden se prevede.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Uskladite politiko prevajanja s skupino odjemalcev
Pravilo NAT mora navesti območje, ki ga odjemalci dejansko prejmejo, ne pisarniškega LAN, ki slučajno deli nadrejeno povezavo. Pravilo, ki pokriva le lokalno podomrežje, zgreši oddaljene odjemalce, tudi ko oba odideta skozi isti vmesnik.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadIzjeme za zasebna mesta hranite ločeno. Promet do notranjih ciljev mora ohraniti svoj prvotni vir, sicer cilj odgovori na naslov, ki ga ne more doseči, in povratni krak spodleti tako, da izgleda kot usmerjevalna zanka.
Uporabite vloge na dejanskih vmesnikih v nameščeni zasnovi. Delček Virtual-Template, kopiran iz starega odgovora Easy VPN, ni popolna trenutna konfiguracija, uporabljena vrsta tunela pa določa, kateri vmesnik prejme dešifriran paket.
Zunanji promet in notranje prevajanje držite ločeno
Prevajanje dešifriranega vira aplikacije ni enaka operacija kot potiskanje paketov IKE ali zaščitenih paketov skozi napravo NAT višje. Prvo spremeni, kar internet vidi kot vir odjemalčeve zahteve; drugo ohranja tunel živ skozi vmesno napravo.
Njuno mešanje prinese dva klasična neuspeha. Usmerjevalnik, ki prevaja lastni tunelski promet, zlomi odnos z enakovrednim partnerjem, medtem ko usmerjevalnik, ki nikoli ne prevaja notranjega toka, pošilja zasebne naslove v internet. Preberite, kateri tok gledate, preden uredite pravilo, in preverite, ali je tunel po spremembi ostal vzpostavljen. Pravilo, ki popravi brskanje, a podre tunel, je težavo premaknilo, namesto da bi jo rešilo.
Nobene od napak ni mogoče odpraviti s spremembo druge. Preberite, kateri tok gledate, preden uredite pravilo.
Preverite na obeh mejah
Preberite vir aplikacije na internetni meji in obnovljeni cilj na povratnem kraku. Prvo pove, ali je do prevajanja prišlo; drugo pove, ali se je obratno preslikavanje vrnilo k pravemu odjemalcu.
Nato preizkusite odjemalca, ki uporablja odobreno pot razdeljenega tunela. Ta odjemalec nikoli ne uporabi internetnega prevajanja tega usmerjevalnika, zato bi se moral obnašati drugače, razlika pa potrdi, po kateri poti je šel promet.
Če se oba odjemalca obnašata enako, politika razdeljenega tunela ne dela tega, kar pravi zasnova. To popravite, preden dodate več pravil prevajanja, ker pravilo, napisano za neuporabljeno pot, skriva resnično težavo.