VPN ya tovuti-hadi-tovuti ya Azure na mwenzake aliye nyuma ya NAT: orodha ya ukaguzi

Fanya ukaguzi huu kwa mpangilio na simama kwenye wa kwanza unaoshindikana. Ripoti nyingi kwamba Azure hautumii kifaa kilicho nyuma ya NAT huwa ni anwani ya mwenzake ambayo Azure haiwezi kuifikia, au handaki ambayo haianzi kamwe kutoka upande sahihi. Usafiri wa nje na uelekezaji wa ndani ni matatizo mawili tofauti, na kuyachanganya kunapoteza mchana. Kila hatua hapa chini hutoa uchunguzi unaoweza kumkabidhi mtu mwingine.

Hatua 1: thibitisha kwamba mwenzake yuko nyuma ya NAT kabisa

Linganisha anwani kwenye kiolesura cha WAN cha kifaa na anwani ambayo Azure anaiona kwa ajili yake. Zikitofautiana, kuna kitu kinatafsiri, na mtafsiri huyo sasa ni sehemu ya muundo wako wa VPN. Muulize mtoa huduma kama ramani ni ya kudumu au ya kushirikiwa, kwa sababu ramani ya kushirikiwa hubadilisha unachoweza kutegemea. Kifaa chenye anwani ya WAN ya faragha na hakina upelekaji ni kesi tofauti na kile kilicho nyuma ya NAT ya kiwango cha mtoa huduma na ramani ya umma isiyobadilika.

Ikiwa anwani hizo mbili zinalingana, simama hapa: NAT si tatizo lako na sehemu iliyobaki ya orodha hii haitasaidia.

Andika anwani zote mbili na modeli ya mtafsiri kwenye tiketi. Mstari huo mmoja huzuia raundi inayofuata ya maswali kuhusu kwa nini mwenzake aliyesanidiwa hajibu.

Hatua 2: kubalianeni nani anaanzisha

Maswali yanayoulizwa mara kwa mara kuhusu Azure VPN Gateway yanataja usaidizi wa NAT-T na yanaongeza kwamba kifaa cha ndani kinapaswa kuanzisha handaki la IPsec kinapokuwa nyuma ya NAT. Hiyo inalingana na jinsi utafsiri wa hali unavyofanya kazi, kwa kuwa mtafsiri huhifadhi ramani kwa sababu kifaa cha ndani kilituma pakiti ya kwanza. Ikiwa Azure inatarajiwa kuanzisha na hakuna kinachofika kuunda ramani hiyo, handaki halianzi kamwe.

Sanidi mwenzake ili kosa la mjibu-pekee liwe dhahiri, na uangalie kama kifaa kinajaribu tena chenyewe au kinahitaji kichocheo. Baadhi ya vifaa huinua handaki tu wakati trafiki ya kuvutia inapotokea, jambo ambalo ni sawa hadi trafiki ya kuvutia iwe uchunguzi wa afya ambao hauji kamwe.

Tazama ubadilishanaji wa IKE kwenye kifaa wakati wa uanzishaji wa mkono; ukimya hapo ni jibu la uelekezaji au la firewall, si jibu la Azure.

Hatua 3: pata anwani ya mwenzake sawasawa

Azure inahitaji anwani ya umma inayofikiwa kwa mwenzake katika kipengee cha lango la mtandao wa ndani, kwa kawaida anwani ya umma ya mtafsiri badala ya anwani ya ndani ya kifaa. Utambulisho ambao kifaa hujithibitisha nao ni sehemu tofauti na unaweza kutofautiana kihalali na anwani ambayo Azure hupiga. Weka mbili tofauti, kwa sababu kuzibadilisha huzalisha kushindikana kwa uthibitishaji kunakoonekana kama tatizo la NAT hasa.

Ikiwa anwani ya umma inabadilika, kipengee hicho lazima kibadilike nayo. Jina linalotatuliwa hadi anwani ya zamani ni mbaya kuliko anwani ya kudumu ambayo lazima uisasishe kwa mkono.

Andika thamani zote tatu: anwani ya ndani ya kifaa, anwani ya umma iliyotafsiriwa, na utambulisho wa mwenzake uliosanidiwa.

Hatua 4: fungua tu bandari ambazo NAT-T inahitaji

NAT-T hubeba ESP ndani ya UDP, na RFC 3948 inaeleza ufungaji huo ukiwa bandari 4500 inatumika baada ya mazungumzo ya awali kwenye bandari 500. Firewall yako na mtafsiri wote wawili lazima waruhusu ubadilishanaji na trafiki yake ya kurudi. Kuruhusu bandari ya TCP isiyohusiana hakuthibitishi chochote kuhusu njia hii, na kanuni inayoruhusu kutoka lakini si jibu bado itashindikana.

Upelekaji wa bandari ya kuingia wa kudumu hauhitajiki kiotomatiki wakati mwenzake anaanzisha na mtafsiri anahifadhi hali. Unahitajika wakati ramani si thabiti au wakati kitu njiani kinamaliza hali kwa ukali.

Nasa mara moja pande zote mbili za mtafsiri; tofauti ya ufungaji inaonekana mara moja.

Hatua 5: tenganisha usafiri wa nje na uelekezaji wa ndani

Handaki linalojengwa na halibebi chochote ni tatizo la uelekezaji, si tatizo la NAT-T. Tovuti bado zinahitaji wateule wa trafiki wanaoendana, nafasi za anwani zinazolingana, kanuni za ufikiaji na njia ya kurudi kwa mitandao ya programu. Hakuna hata moja ya hayo inayotolewa na ubadilishanaji wa IKE uliofaulu.

Ikiwa tovuti hizo mbili zinatumia safu za faragha zinazopishana, utafsiri ndani ya handaki ni muundo tofauti na kanuni zake. Usibadilishe nambari za subnet kwa sababu tu lango la nje liko nyuma ya ruta ya nyumbani.

Bainisha kushindikana kwa hatua kabla ya kubadilisha chochote, na weka uainishaji huo kwenye tiketi ili mtu anayefuata aanzie pale ulipoishia.