Cila ndërfaqe merr rolin NAT brenda dhe jashtë në një dalje VPN IOS

Routerët që ofrojnë një dalje interneti me tunel të plotë bëjnë dy punë që duken si një. Ai e përfundon tunelin dhe e përcjell paketën e klientit të dekriptuar drejt internetit. Vetëm puna e dytë kërkon përkthim, dhe përkthimi duhet të përputhet me rrjedhën e brendshme. Ky dallim përcakton cilat ndërfaqe mbajnë rolet NAT dhe cili interval adresash shfaqet në rregull.

Ndiqni një paketë përmes routerit

Merrni një klient në 10.90.0.25 që hap një shërbim HTTPS publik. Nëse ajo destinacion hyn fare në tunel, është vendim i politikës së vetë klientit. Pasi hyn, routeri e dekripton paketën dhe e dorëzon te një ndërfaqe virtuale, prej nga drejtohet te lidhja publike lart.

Ajo ndërfaqe virtuale është ana e brendshme e përkthimit. Lidhja publike lart është ana e jashtme. Nëse rolet janë të përmbysura ose mungojnë, paketa ose del me një burim privat, ose hidhet poshtë para se të përkthehet.

Përputhni politikën e përkthimit me grupin e klientëve

Rregulli NAT duhet të përmendë intervalin që klientët marrin në të vërtetë, jo LAN-in e zyrës që ndan rastësisht lidhjen lart. Një rregull që mbulon vetëm nënrrjetin lokal humb klientët në distancë edhe kur të dy dalin përmes të njëjtës ndërfaqe.

ip access-list extended NAT-TUNNEL
 permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overload

Përjashtimet për faqet private mbajini të ndara. Trafiku drejt destinacioneve të brendshme duhet të ruajë burimin origjinal, përndryshe destinacioni përgjigjet në një adresë që nuk mund ta arrijë dhe krahu i kthimit dështon në një mënyrë që duket si lak rrugëtimi.

Zbatoni rolet në ndërfaqet reale të projektit të vendosur. Një fragment Virtual-Template i kopjuar nga një përgjigje e vjetër Easy VPN nuk është një konfigurim i plotë aktual, dhe lloji i tunelit në përdorim përcakton cila ndërfaqe merr paketën e dekriptuar.

Mbajini transportin e jashtëm dhe përkthimin e brendshëm të ndarë

Përkthimi i një burimi aplikacioni të dekriptuar nuk është i njëjti veprim me shtyrjen e paketave IKE ose të mbrojtura përmes një pajisjeje NAT më lart. I pari ndryshon atë që interneti sheh si burim të kërkesës së klientit; i dyti mban gjallë një tunel përmes një pajisjeje ndërmjetëse.

Ngatërrimi i tyre prodhon dy dështime klasike. Një router që përkthen transportin e vet të tunelit prish marrëdhënien me palën tjetër, ndërsa një router që nuk e përkthen kurrë rrjedhën e brendshme përcjell adresa private drejt internetit. Lexoni cilën rrjedhë po shikoni përpara se të modifikoni një rregull dhe kontrolloni nëse tuneli mbeti lart pas ndryshimit. Një rregull që rregullon shfletimin por rrëzon tunelin e ka zhvendosur problemin në vend që ta zgjidhë.

Asnjëri dështim nuk rregullohet duke ndryshuar tjetrin. Lexoni cilën rrjedhë po shikoni përpara se të modifikoni një rregull.

Verifikoni në të dy kufijtë

Lexoni burimin e aplikacionit në kufirin e internetit dhe destinacionin e rivendosur në krahun e kthimit. I pari ju tregon nëse ndodhi përkthimi; i dyti ju tregon nëse hartëzimi i kundërt u kthye te klienti i duhur.

Më pas provoni një klient që përdor një shteg të miratuar të tunelit të ndarë. Ai klient nuk e përdor kurrë përkthimin e internetit të këtij routeri, prandaj duhet të sillet ndryshe, dhe dallimi konfirmon cilën rrugë mori trafiku.

Nëse të dy klientët sillen njësoj, politika e tunelit të ndarë nuk po bën atë që thotë projekti. Rregullojeni këtë përpara se të shtoni më shumë rregulla përkthimi, sepse një rregull i shkruar për një shteg që nuk përdoret fsheh problemin e vërtetë.