FortiGate nyuma ya NAT: local-gw, localid na IP ya umma

FortiGate iliyo nyuma ya NAT inaweza kumiliki 10.0.0.2 kwenye kiolesura chake cha WAN wakati intaneti inaionyesha kama 198.51.100.40, na namba zote mbili ni halisi. Anwani ambayo kifaa hufungamana nayo na utambulisho ambao hutuma wakati wa uthibitishaji wa IKE ni maamuzi tofauti, yaliyofanywa katika sehemu tofauti, kwa hadhira tofauti. NAT huandika upya anwani za nje ikipita; haiandiki upya utambulisho uliothibitishwa kuwa kile ambacho peer wa mbali anatarajia. Makosa mengi ya awamu ya 1 katika umbo hili hutokana na kuweka thamani sahihi katika sehemu isiyo sahihi.

Thamani tatu, wamiliki watatu

Anza kwa kutaja thamani tatu na nani anamiliki kila moja. local-gw ni anwani ambayo FortiGate hutumia kama chanzo cha IKE kwenye kiolesura chake cha nje, na lazima iwe anwani ambayo kifaa kinayo kweli. Kituo cha mwisho cha umma ni anwani ya kifaa cha NAT, na inamilikiwa na anayefanya tafsiri. Utambulisho wa IKE ni mfuatano ambao peer hulinganisha na usanidi wake mwenyewe, na hauhitajiki kabisa kuwa anwani ya IP.

Majina ya sehemu yako karibu vya kutosha kuhamasisha ubadilishaji, na hiyo ndiyo mtego. localid na localid-type hufafanua utambuzi; local-gw hufafanua ufungaji wa ndani.

Mfano hufanya tofauti iwe dhahiri. Kwenye FortiGate, fungua config vpn ipsec phase1-interface, kisha set interface "wan1" na set local-gw 10.0.0.2 — anwani ambayo sanduku linayo, na hii ndiyo hufanya soketi ya IKE ifungamane kwa mafanikio. Acha local-gw kwenye 0.0.0.0 na anwani ya kiolesura hutumika, ambayo kwa kawaida ni kitu kimoja lakini haijaelezwa wazi. Usiweke local-gw kwenye 198.51.100.40, kwa sababu kifaa hakina anwani hiyo na soketi haitafungamana nayo. Kufanya thamani mbili zionekane sawa kwenye karatasi si usanidi.

Hatua 1: chagua utambulisho ambao peer atakubali

Sasa utambulisho, ambao ni uamuzi tofauti. set localid huchukua thamani ambayo peer atalinganisha, na set localid-type humwambia FortiGate jinsi ya kuifasiri: anwani, FQDN, FQDN ya mtumiaji au ID ya ufunguo. Kwa auto kifaa huitoa, kwa kawaida kutoka anwani ya kiolesura kinachotoka, ambayo ni thamani ambayo kifaa cha NAT kinakaribia kubadilisha.

Utoaji huo ndiyo sababu utambulisho wazi ni muhimu katika topolojia hii. Ikiwa peer anatarajia utambulisho wa anwani, weka localid-type address na localid kwenye anwani ya umma ambayo peer ataona, kisha thibitisha kuwa peer anakubali thamani hiyo kama utambulisho na si kama lengo la uelekezaji. Ikiwa peer anatarajia FQDN, tumia localid-type fqdn na jina ambalo liliundwa nalo. Thibitisha kile kilichotumwa kweli kwa diagnose vpn ike gateway list, ambayo inaonyesha hali ya lango na vitambulisho vinavyotumika, si kile ulichokusudia kuandika. Usidhani kuwa chaguo la aina ya utambulisho linakubali anwani yoyote isiyo ya ndani; kwanza angalia maana iliyoandikwa ya toleo.

Hatua 2: peleka UDP 500 na 4500 kwa kifaa

Thamani ya tatu ni ya kifaa cha NAT, na ndiyo ambayo watu husahau kuangalia. Kituo cha mwisho cha umma lazima kipeleke UDP 500 na UDP 4500 kwa FortiGate, kwa sababu utambuzi wa NAT-T na ESP iliyofungwa inayofuata zote mbili zinategemea bandari hizo kufika. Usanifu huu unadhani ramani ya moja-kwa-moja; kugawana anwani moja ya umma kwa bandari kati ya peer kadhaa ni topolojia tofauti na mipaka tofauti.

Thibitisha upelekaji kwa kunasa na si kwa matumaini: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 inaonyesha ikiwa pakiti zinafika na ikiwa majibu yanatoka.

Google Cloud VPN inaandika NAT ya moja-kwa-moja na NAT-T kama mpangilio unaotumika kwa peer aliye nyuma ya NAT, na hiyo ndiyo kikwazo cha kuunda kizuizi ikiwa upande wa mbali ni lango la Cloud VPN. Kugawana moja-kwa-wengi au kwa bandari si topolojia hiyo hiyo inayotumika, na hakuna urekebishaji wa utambulisho wa ndani unaobadilisha hilo. Ikiwa upande wa mbali ni kifaa kingine, nyaraka zake mwenyewe huainisha kile kitakachokubali kama utambulisho na ikiwa kinastahimili anwani ya peer iliyotafsiriwa. Soma hilo kabla ya kubadilisha sehemu ya ndani, kwa sababu upande wa ndani hauwezi kujadili sheria ambayo upande wa mbali hautekelezi.

Hatua 3: angalia kile awamu ya 1 haitatui

Upitishaji wa NAT huinua handaki, makubaliano ya utambulisho huamua ikiwa peer ataikubali, na uelekezaji wa kiambishi cha ndani huamua kile kinachopita kweli. ID sahihi ya ndani haiwezi kutoa njia tuli inayokosekana au kichaguzi cha trafiki kinachokosekana.

Kwa hiyo thibitisha kwa tabaka. get vpn ipsec tunnel details inaonyesha ikiwa handaki liko juu na ni wachaguzi gani waliokubaliwa, na kutokubaliana kati ya subnet ya mbali iliyosanidiwa na kichaguzi kilichokubaliwa ni tatizo la uelekezaji katika mavazi ya awamu ya 2. execute vpn ike gateway clear hulazimisha majadiliano upya, kwa hiyo unajaribu usanidi wa sasa na si kikao kilichoanzishwa kabla ya mabadiliko yako ya mwisho. Kisha tuma trafiki kwa mwenyeji katika kiambishi cha mbali na thibitisha kwamba vihesabu vinahama, kwa sababu handaki lililo juu na lisilopitisha chochote linaonekana sawa na linalofanya kazi hadi utakapothibitisha.

Weka thamani tatu mahali pamoja katika madokezo yako: anwani ya ndani ambayo kifaa kinayo, kituo cha mwisho cha umma ambacho kifaa cha NAT kinaonyesha, na mfuatano wa utambulisho ambao peer anatarajia. Hubadilika kwa sababu tofauti na kwa nyakati tofauti.

Kuhesabu upya kifaa cha NAT si sababu ya kugusa local-gw ya FortiGate, na mabadiliko ya utambulisho si sababu ya kuhesabu upya chochote. Kuchanganya vyote viwili ndiyo njia ambayo handaki linalofanya kazi hujengwa upya wakati wa dirisha la matengenezo lisilohusiana. Mwongozo wa NAT wa Cloud VPN ndiyo marejeleo ya topolojia inayotumika upande huo.

Jaribio linaloamua ni la kuchosha na la haraka: nasa kwenye kiolesura cha nje, thibitisha kwamba UDP 500 na 4500 vinatoka kwa peer, thibitisha kwamba utambulisho katika mabadilishano ya IKE unalingana na kile peer alisanidiwa kutarajia, kisha thibitisha kwamba wachaguzi waliokubaliwa wanashughulikia subnet ambazo unazijali. Ikiwa ukaguzi wa kwanza unashindikana, mtuhumiwa ni kifaa cha NAT. Ikiwa wa pili, ni sehemu za utambulisho. Ikiwa wa tatu, basi NAT au utambulisho haukuwa tatizo kamwe.