Kiolesura kipi hupata jukumu la NAT ndani na nje kwenye kituo cha VPN cha IOS
Fuatilia pakiti ya mteja iliyotenganishwa kutoka kiolesura pepe hadi kiungo cha juu. Tafsiri ni ya mtiririko huu wa ndani, si usafirishaji wa nje wa handaki.
Ruta zinazotoa kituo cha intaneti kwa handaki kamili hufanya kazi mbili zinazoonekana kama moja. Hufunga handaki na kusambaza pakiti ya mteja iliyotenganishwa kwenda intaneti. Kazi ya pili pekee inahitaji tafsiri, na tafsiri lazima ilingane na mtiririko wa ndani. Tofauti hiyo huamua ni violezo vipi hubeba majukumu ya NAT na ni safu gani ya anwani inaonekana kwenye kanuni.
Fuatilia pakiti moja kupitia ruta
Chukua mteja aliye kwenye 10.90.0.25 anayefungua huduma ya HTTPS ya umma. Ikiwa lengwa hilo linaingia kwenye handaki ni uamuzi wa sera ya mteja mwenyewe. Likiingia, ruta hutenganisha pakiti na kuifikisha kwenye kiolesura pepe, kutoka hapo huelekezwa kwenye kiungo cha juu cha umma.
Kiolesura hicho pepe ni upande wa ndani wa tafsiri. Kiungo cha juu cha umma ni upande wa nje. Ikiwa majukumu yamepinduliwa au hayapo, pakiti hutoka na chanzo cha kibinafsi au hutupwa kabla ya kutafsiriwa.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Linganisha sera ya tafsiri na kundi la wateja
Kanuni ya NAT lazima itaje safu ambayo wateja hupata kweli, si LAN ya ofisi inayoshiriki kiungo cha juu kwa bahati. Kanuni inayohusu subnet ya ndani pekee huwakosa wateja wa mbali hata wakati wote wawili wanatokea kupitia kiolesura kimoja.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadWeka kando vighairi vya tovuti za kibinafsi. Trafiki kuelekea lengwa za ndani lazima ihifadhi chanzo chake cha awali, vinginevyo lengwa litajibu anwani ambayo haliwezi kuifikia na mguu wa kurudi utashindikana kwa namna inayofanana na mzunguko wa uelekezaji.
Tumia majukumu kwenye violezo halisi vya muundo uliosambazwa. Kipande cha Virtual-Template kilichonakiliwa kutoka jibu la zamani la Easy VPN si usanidi kamili wa sasa, na aina ya handaki inayotumika huamua kiolesura kipi hupokea pakiti iliyotenganishwa.
Tenganisha usafirishaji wa nje na tafsiri ya ndani
Kutafsiri chanzo cha programu kilichotenganishwa si operesheni sawa na kusukuma pakiti za IKE au zilizolindwa kupitia kifaa cha NAT juu. Ya kwanza hubadilisha kile intaneti inachokiona kama chanzo cha ombi la mteja; ya pili huweka handaki hai kupitia kifaa cha kati.
Kuzichanganya huleta hitilafu mbili za kawaida. Ruta inayotafsiri usafirishaji wa handaki yake yenyewe huvunja uhusiano wa rika, ilhali ruta isiyotafsiri kamwe mtiririko wa ndani husambaza anwani za kibinafsi kwenda intaneti. Soma mtiririko unaouangalia kabla ya kuhariri kanuni, na uangalie kama handaki lilibaki juu baada ya mabadiliko. Kanuni inayorekebisha uvinjari lakini ikaangusha handaki imehamisha tatizo badala ya kulitatua.
Hakuna hitilafu inayorekebishwa kwa kubadilisha nyingine. Soma mtiririko unaouangalia kabla ya kuhariri kanuni.
Thibitisha kwenye mipaka yote miwili
Soma chanzo cha programu kwenye mpaka wa intaneti, na lengwa lililorejeshwa kwenye mguu wa kurudi. Ya kwanza hukuambia kama tafsiri ilitokea; ya pili hukuambia kama ramani ya kinyume ilirudi kwa mteja sahihi.
Kisha jaribu mteja anayetumia njia ya handaki iliyogawanywa iliyoidhinishwa. Mteja huyo hatumii kamwe tafsiri ya intaneti ya ruta hii, kwa hiyo anapaswa kuwa na tabia tofauti, na tofauti hiyo huthibitisha njia ambayo trafiki ilipita.
Ikiwa wateja wote wawili wana tabia sawa, sera ya handaki iliyogawanywa haifanyi kile muundo unavyosema. Rekebisha hilo kabla ya kuongeza kanuni zaidi za tafsiri, kwa sababu kanuni iliyoandikwa kwa njia isiyotumika huficha tatizo halisi.