FortiGate ka dambeeya NAT: local-gw, localid iyo IP-da guud

FortiGate ka dambeeya NAT waxay yeelan kartaa 10.0.0.2 interface-ka WAN, halka internetku u soo bandhigo sidii 198.51.100.40, labada lambar baana dhab ah. Cinwaanka ay qalabku ku xidhmo iyo aqoonsiga ay dirto inta lagu jiro xaqiijinta IKE waa go'aamo gooni ah, oo lagu qaatay goobo gooni ah, oo loogu talagalay dhegaystayaal gooni ah. NAT waxay dib u qoraa cinwaanka dibadda inta ay marayso; ma dib u qorto aqoonsiga la xaqiijiyay oo u rogo waxa qaybta fog filayo. Inta badan guuldarrooyinka wejiga 1 ee qaabkan waxay ka yimaadaan in qiimaha saxda ah la geliyo goobta qaldan.

Saddex qiime, saddex milkiile

Ku bilow magacaabista saddexda qiime iyo yaa leh mid kasta. local-gw waa cinwaanka FortiGate u isticmaasho isha IKE ee interface-ka dibadda, waana inuu noqdaa cinwaan uu qalabku dhab ahaan haysto. Meesha guud waa cinwaanka qalabka NAT, waxaana iska leh kan tarjuma. Aqoonsiga IKE waa xarig uu qaybta kale la barbardhigo qaabeyntiisa, mana aha inuu cinwaan IP noqdo.

Magacyada goobaha aad bay isugu dhow yihiin oo waxay ku casuumaan beddelaad, waana taas dabin. localid iyo localid-type waxay qeexaan aqoonsiga; local-gw waxay qeexdaa xidhitaanka maxalliga.

Tusaale ayaa farqiga ka dhigaya mid cad. FortiGate, fur config vpn ipsec phase1-interface, ka dibna set interface "wan1" iyo set local-gw 10.0.0.2 — cinwaan uu sanduuqa leeyahay, waana taas oo ka dhigta socket-ka IKE inuu si guul leh u xidhmo. Ka tag local-gw 0.0.0.0 waxaana la isticmaalayaa cinwaanka interface-ka, taas oo badanaa isku mid ah laakiin aan si cad u muuqan. Ha dhigin local-gw 198.51.100.40, sababtoo ah qalabku ma haysto cinwaankaas socket-kuna kuma xidhmi doono. Laba qiime in ka dhigto mid isku mid ah warqad kuma filna.

Tallaabo 1: dooro aqoonsiga uu qaybta kale aqbali doono

Hadda aqoonsiga, taas oo ah go'aan kale. set localid waxay qaadataa qiimaha uu qaybta kale barbardhigi doono, set localid-type waxayna u sheegtaa FortiGate sida loo fasiraa: cinwaan, FQDN, FQDN isticmaale ama ID fure. auto qalabku wuu soo saaraa, badanaa cinwaanka interface-ka baxa, taas oo si sax ah u tahay qiimaha uu qalabka NAT beddelayo.

Soo-saaristaas waa sababta aqoonsi cad u muhiim u yahay topolojigan. Haddii qaybta kale filayo aqoonsi cinwaan, dhig localid-type address iyo localid cinwaanka guud ee qaybta kale arki doono, ka dibna xaqiiji in qaybta kale u aqbalo qiimahaas aqoonsi ahaan ee ma aha bartilmaameed marin. Haddii qaybta kale filayo FQDN, isticmaal localid-type fqdn iyo magaca lagu qaabeeyay. Xaqiiji waxa dhab ahaan la diray diagnose vpn ike gateway list, taas oo muujinaysa xaaladda gateway-ga iyo aqoonsadayaasha la isticmaalayo, ma aha waxa aad doonaysay inaad qorto. Ha u qaadan in ikhtiyaarka nooca aqoonsigu uu aqbalo cinwaan aan maxalli ahayn oo aan loo baahnayn; marka hore hubi macnaha diiwaangashan ee soo-saarka.

Tallaabo 2: u gudbi UDP 500 iyo 4500 qalabka

Qiimaha saddexaad waxaa iska leh qalabka NAT, waana kan dadku ilaawayaan inay hubiyaan. Meesha guud waa inay u gudbisaa UDP 500 iyo UDP 4500 FortiGate, sababtoo ah ogaanshaha NAT-T iyo ESP-ga la duuban ee xiga labaduba waxay ku xiran yihiin imaatinka dekedahaas. Naqshaddan waxay u qaadataa khariidad mid-ka-mid; wadaagista hal cinwaan guud oo ku salaysan dekedaha dhexdhexaadka qaybo badan waa topoolaji kale oo leh xaddidaad kale.

Xaqiiji gudbinta qabasho, ma aha rajo: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 waxay muujinaysaa in baakaduhu imanayaan iyo in jawaabuhu baxayaan.

Google Cloud VPN waxay diiwaangelisaa NAT mid-ka-mid oo leh NAT-T oo ah habka la taageeray ee qaybta ka dambeeya NAT, waana xaddidaadda ay tahay in loo naqshadeeyo haddii dhinaca fog uu yahay gateway Cloud VPN. Wadaagista mid-ka-badan ama dekedaha kuma aha topoolajiga la taageeray ee la mid ah, mana jiro wax hagaajin aqoonsi maxalli ah oo beddela taas. Haddii dhinaca fog uu yahay qalab kale, diiwaanka u gaar ah ayaa qeexaya waxa uu u aqbali doono aqoonsi iyo inuu u dulqaadan karo cinwaanka qaybta kale ee la tarjumay. Akhri taas ka hor inta aadan beddelin goob maxalli ah, sababtoo ah dhinaca maxalliga ma awoodo inuu ka wada hadlo qaanuun uusan dhinaca fog fulin.

Tallaabo 3: hubi waxa wejiga 1 aanu xallin

Marista NAT waxay kor u qaadaa tunnel-ka, heshiiska aqoonsigu wuxuu go'aamiyaa in qaybta kale aqbalo, iyo marin-hagaajinta prefix-ka gudaha wuxuu go'aamiyaa waxa dhab ahaan gudba. ID maxalli ah oo sax ah ma bixin karo waddo taagan oo maqan ama doorasho taraafik oo maqan.

Sidaas darteed lakab-lakab u hubi. get vpn ipsec tunnel details waxay muujinaysaa in tunnel-ku kor yahay iyo doorashooyinka la wada hadlay, iyo isku-dhaqan la'aanta subnet-ka fog ee la qaabeeyay iyo doorashada la wada hadlay waa dhibaato marin oo ku labisan wejiga 2. execute vpn ike gateway clear waxay ku qasabtaa wada-hadal cusub, sidaas darteed waxaad tijaabinaysaa qaabeynta hadda ee ma aha fadhi la aasaasay ka hor beddelkaagii ugu dambeeyay. Ka dib u dir taraafik host ku yaal prefix-ka fog oo xaqiiji in tirakoobku dhaqaaqo, sababtoo ah tunnel kor yaal oo aan waxba gudbin u eg mid shaqeeya ilaa aad hubiso.

Saddexda qiime ku hayso hal meel oo qoraalladaada ah: cinwaanka maxalliga ah ee qalabku haysto, meesha guud ee qalabka NAT soo bandhigo, iyo xarigga aqoonsiga ee qaybta kale filayo. Waxay is beddelaan sababo kala duwan iyo waqtiyo kala duwan.

Dib-u-nambaraynta qalabka NAT ma aha sabab lagu taabto local-gw ee FortiGate, beddelka aqoonsiguna ma aha sabab wax loo dib-u-nambareeyo. Labada isku qasidda waa sida tunnel shaqeeya dib loogu dhiso inta lagu jiro daaqad dayactir oo aan xidhiidh la lahayn. Hagaha NAT ee Cloud VPN waa tixraaca topoolajiga la taageeray ee dhinacaas.

Tijaabada go'aamisa waa mid caajis leh oo degdeg ah: qabasho ku samee interface-ka dibadda, xaqiiji in UDP 500 iyo 4500 ay ka yimaadaan qaybta kale, xaqiiji in aqoonsiga ku jira is-dhaafsiga IKE uu u dhigmayo wixii qaybta kale loo qaabeeyay inuu filayo, ka dibna xaqiiji in doorashooyinka la wada hadlay ay daboolaan subnet-yada aad danaynayso. Haddii hubinta koowaad guuldarro, tuhmanaha waa qalabka NAT. Haddii tan labaad, waa goobaha aqoonsiga. Haddii tan saddexaad, NAT ama aqoonsi waligood dhibaato ma ahayn.