Који интерфејс добија унутрашњу, а који спољашњу NAT улогу на излазу IOS VPN
Пратите дешифровани пакет клијента од виртуелног интерфејса до узводног линка. Превођење припада овом унутрашњем току, а не спољашњем транспорту тунела.
Рутери који обезбеђују излаз на интернет кроз пун тунел обављају два посла која изгледају као један. Он завршава тунел и прослеђује дешифровани пакет клијента на интернет. Само други посао захтева превођење, и превођење мора да одговара унутрашњем току. Та разлика одређује који интерфејси носе NAT улоге и који опсег адреса се појављује у правилу.
Пратите један пакет кроз рутер
Узмите клијента на 10.90.0.25 који отвара јавну HTTPS услугу. Да ли та дестинација уопште улази у тунел, одлука је политике самог клијента. Када уђе, рутер дешифрује пакет и доставља га виртуелном интерфејсу, одакле се усмерава ка јавном узводном линку.
Тај виртуелни интерфејс је унутрашња страна превођења. Јавни узводни линк је спољашња страна. Ако су улоге обрнуте или недостају, пакет или излази са приватним извором, или се одбацује пре него што буде преведен.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Ускладите политику превођења са базеном клијената
NAT правило мора да именује опсег који клијенти заиста добијају, а не канцеларијску LAN мрежу која случајно дели узводни линк. Правило које покрива само локалну подмрежу пропушта удаљене клијенте чак и када оба излазе кроз исти интерфејс.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadИзузетке за приватне локације држите одвојено. Саобраћај ка унутрашњим дестинацијама мора да задржи свој изворни извор, иначе ће дестинација одговорити на адресу до које не може да стигне и повратни крак ће пасти тако да изгледа као петља усмеравања.
Примените улоге на стварне интерфејсе у распоређеном дизајну. Фрагмент Virtual-Template ископиран из старог одговора за Easy VPN није потпуна актуелна конфигурација, а тип тунела који се користи одређује који интерфејс прима дешифровани пакет.
Држите спољашњи транспорт и унутрашње превођење одвојено
Превођење дешифрованог извора апликације није иста операција као гуркање IKE или заштићених пакета кроз NAT уређај изнад. Прво мења оно што интернет види као извор клијентовог захтева; друго одржава тунел живим кроз посредни уређај.
Њихово мешање даје два класична отказа. Рутер који преводи сопствени тунелски транспорт крши однос са партнером, док рутер који никада не преводи унутрашњи ток прослеђује приватне адресе на интернет. Прочитајте који ток гледате пре него што уредите правило и проверите да ли је тунел остао подигнут после промене. Правило које поправља прегледање а обара тунел преместило је проблем уместо да га реши.
Ниједан од два отказа не отклања се променом другог. Прочитајте који ток гледате пре него што уредите правило.
Проверите на обе границе
Прочитајте извор апликације на интернет граници и враћену дестинацију на повратном краку. Прво говори да ли се превођење догодило; друго говори да ли се обрнуто мапирање вратило правом клијенту.
Затим тестирајте клијента који користи одобрену путању раздељеног тунела. Тај клијент никада не користи интернет превођење овог рутера, па би требало да се понаша другачије, а разлика потврђује којом путањом је саобраћај ишао.
Ако се оба клијента понашају исто, политика раздељеног тунела не ради оно што дизајн каже. Поправите то пре него што додате још правила превођења, јер правило написано за путању која се не користи скрива прави проблем.