NAT பின்னால் FortiGate: local-gw, localid மற்றும் பொது IP

NAT பின்னால் உள்ள FortiGate அதன் WAN இடைமுகத்தில் 10.0.0.2 வைத்திருக்க முடியும், அதே நேரம் இணையம் அதை 198.51.100.40 ஆகக் காட்டுகிறது, இரண்டு எண்களும் உண்மையானவை. சாதனம் பிணைக்கும் முகவரியும் IKE அங்கீகாரத்தின் போது அது அனுப்பும் அடையாளமும் தனித்தனி முடிவுகள், தனித்தனி புலங்களில், தனித்தனி பார்வையாளர்களுக்காக எடுக்கப்படுபவை. NAT வழியில் வெளிப்புற முகவரியை மீண்டும் எழுதுகிறது; அங்கீகரிக்கப்பட்ட அடையாளத்தை தொலை சகா எதிர்பார்க்கும் வடிவத்திற்கு மீண்டும் எழுதுவதில்லை. இந்த வடிவத்தில் பெரும்பாலான கட்டம் 1 தோல்விகள் சரியான மதிப்பை தவறான புலத்தில் வைப்பதால் வருகின்றன.

மூன்று மதிப்புகள், மூன்று உரிமையாளர்கள்

மூன்று மதிப்புகளையும் ஒவ்வொன்றின் உரிமையாளரையும் பெயரிட்டு தொடங்குங்கள். local-gw என்பது FortiGate தன் வெளிப்புற இடைமுகத்தில் IKE-க்கான மூலமாகப் பயன்படுத்தும் முகவரி, அது சாதனத்திடம் உண்மையில் உள்ள முகவரியாக இருக்க வேண்டும். பொது முனைப்புள்ளி என்பது NAT சாதனத்தின் முகவரி, அது மொழிபெயர்ப்பு செய்பவருக்கு சொந்தமானது. IKE அடையாளம் என்பது சகா தன் சொந்த கட்டமைப்புடன் ஒப்பிடும் சரம், அது IP முகவரியாக இருக்க வேண்டிய அவசியமில்லை.

புலங்களின் பெயர்கள் மாற்றீட்டை அழைக்கும் அளவுக்கு நெருக்கமாக உள்ளன, அதுவே பொறி. localid மற்றும் localid-type அடையாளத்தை விவரிக்கின்றன; local-gw உள்ளூர் பிணைப்பை விவரிக்கிறது.

ஒரு எடுத்துக்காட்டு வேறுபாட்டை உறுதிப்படுத்துகிறது. FortiGate-இல் config vpn ipsec phase1-interface திறக்கவும், பின்னர் set interface "wan1" மற்றும் set local-gw 10.0.0.2 — பெட்டியிடம் உள்ள முகவரி, இதுவே IKE சாக்கெட் வெற்றிகரமாக பிணைக்க காரணம். local-gw 0.0.0.0 இல் விட்டால் இடைமுக முகவரி பயன்படுத்தப்படும், இது பொதுவாக அதே விஷயம் ஆனால் குறைவான தெளிவு. local-gw 198.51.100.40 இல் அமைக்க வேண்டாம், ஏனெனில் சாதனத்திடம் அந்த முகவரி இல்லை, சாக்கெட் அதில் பிணைக்காது. இரண்டு மதிப்புகளை காகிதத்தில் சமமாகக் காட்டுவது கட்டமைப்பு அல்ல.

படி 1: சகா ஏற்கும் அடையாளத்தைத் தேர்ந்தெடுக்கவும்

இப்போது அடையாளம், அது வேறு முடிவு. set localid சகா ஒப்பிடும் மதிப்பை எடுக்கிறது, set localid-type FortiGate-க்கு அதை எவ்வாறு விளக்குவது என்பதைச் சொல்கிறது: ஒரு முகவரி, FQDN, பயனர் FQDN அல்லது விசை ID. auto உடன் சாதனம் அதைப் பெறுகிறது, பொதுவாக வெளிச்செல்லும் இடைமுகத்தின் முகவரியிலிருந்து, அது NAT சாதனம் மாற்றப்போகும் மதிப்பே.

இந்தப் பெறுதல் தான் இந்த இடவியலில் வெளிப்படையான அடையாளம் முக்கியமாக இருப்பதற்குக் காரணம். சகா முகவரி அடையாளத்தை எதிர்பார்த்தால், localid-type address மற்றும் localid ஆகியவற்றை சகா காணும் பொது முகவரிக்கு அமைக்கவும், பின்னர் சகா அந்த மதிப்பை வழிமாற்று இலக்காக அல்ல, அடையாளமாக ஏற்கிறது என்பதை உறுதிப்படுத்தவும். சகா FQDN எதிர்பார்த்தால், localid-type fqdn மற்றும் அது கட்டமைக்கப்பட்ட பெயரைப் பயன்படுத்தவும். உண்மையில் என்ன அனுப்பப்பட்டது என்பதை diagnose vpn ike gateway list மூலம் சரிபார்க்கவும், அது நுழைவாயிலின் நிலையையும் பயன்பாட்டில் உள்ள அடையாளங்காட்டிகளையும் காட்டுகிறது, நீங்கள் தட்டச்சு செய்ய நினைத்ததை அல்ல. அடையாள வகை விருப்பம் எந்தவொரு உள்ளூர் அல்லாத முகவரியையும் ஏற்கும் என்று கருத வேண்டாம்; முதலில் வெளியீட்டின் ஆவணப்படுத்தப்பட்ட பொருளைச் சரிபார்க்கவும்.

படி 2: UDP 500 மற்றும் 4500 ஐ சாதனத்திற்கு அனுப்பவும்

மூன்றாவது மதிப்பு NAT சாதனத்திற்கு சொந்தமானது, அதைத்தான் மக்கள் சரிபார்க்க மறக்கிறார்கள். பொது முனைப்புள்ளி UDP 500 மற்றும் UDP 4500 ஐ FortiGate-க்கு அனுப்ப வேண்டும், ஏனெனில் NAT-T கண்டறிதலும் அதைத் தொடரும் மூடப்பட்ட ESP-யும் இரண்டும் இந்த துறைகள் வருவதைச் சார்ந்துள்ளன. இந்த வடிவமைப்பு ஒன்றுக்கு ஒன்று மேப்பிங்கைக் கருதுகிறது; ஒரு பொது முகவரியை பல சகாக்கள் இடையே துறை அடிப்படையில் பகிர்வது வேறு வரம்புகள் கொண்ட வேறு இடவியல்.

அனுப்புதலைப் பிடிப்பின் மூலம் உறுதிப்படுத்தவும், நம்பிக்கையால் அல்ல: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 பாக்கெட்டுகள் வருகிறதா, பதில்கள் செல்கிறதா என்பதைக் காட்டுகிறது.

Google Cloud VPN, NAT பின்னால் உள்ள சகாவுக்கு ஆதரவளிக்கும் ஏற்பாடாக NAT-T உடன் ஒன்றுக்கு ஒன்று NAT ஐ ஆவணப்படுத்துகிறது, தொலை முனை Cloud VPN நுழைவாயிலாக இருந்தால் இந்த வரம்பிற்கு எதிராக வடிவமைக்க வேண்டும். ஒன்றுக்கு பல அல்லது துறை அடிப்படையிலான பகிர்வு அதே ஆதரவு இடவியல் அல்ல, உள்ளூர் அடையாள மாற்றம் அதை மாற்றாது. தொலைப் பக்கம் வேறு சாதனமாக இருந்தால், அதன் சொந்த ஆவணங்கள் அடையாளமாக என்ன ஏற்கும், மொழிபெயர்க்கப்பட்ட சகா முகவரியை பொறுத்துக்கொள்ளுமா என்பதை வரையறுக்கின்றன. உள்ளூர் புலத்தை மாற்றும் முன் அதைப் படியுங்கள், ஏனெனில் தொலைப் பக்கம் செயல்படுத்தாத விதியை உள்ளூர்ப் பக்கம் பேச்சுவார்த்தை செய்ய முடியாது.

படி 3: கட்டம் 1 எதைத் தீர்க்கவில்லை என்பதைச் சரிபார்க்கவும்

NAT கடத்தல் சுரங்கப்பாதையை உயர்த்துகிறது, அடையாள ஒப்பந்தம் சகா அதை ஏற்குமா என்பதைத் தீர்மானிக்கிறது, உள் முன்னொட்டு வழிமாற்றம் உண்மையில் என்ன கடக்கிறது என்பதைத் தீர்மானிக்கிறது. சரியான உள்ளூர் ID காணாமல் போன நிலையான வழித்தடத்தையோ காணாமல் போன போக்குவரத்து தேர்வியையோ வழங்க முடியாது.

எனவே அடுக்குகளாகச் சரிபார்க்கவும். get vpn ipsec tunnel details சுரங்கப்பாதை மேலே உள்ளதா, எந்தத் தேர்விகள் பேச்சுவார்த்தை செய்யப்பட்டன என்பதைக் காட்டுகிறது, கட்டமைக்கப்பட்ட தொலை சப்நெட்டுக்கும் பேச்சுவார்த்தை செய்யப்பட்ட தேர்விக்கும் இடையிலான வேறுபாடு கட்டம் 2 உடையில் உள்ள வழிமாற்றுப் பிரச்சினை. execute vpn ike gateway clear மீண்டும் பேச்சுவார்த்தைக்கு கட்டாயப்படுத்துகிறது, எனவே தற்போதைய கட்டமைப்பைச் சோதிக்கிறீர்கள், உங்கள் கடைசி மாற்றத்திற்கு முன் நிறுவப்பட்ட அமர்வை அல்ல. பின்னர் தொலை முன்னொட்டில் உள்ள ஹோஸ்டுக்கு போக்குவரத்தை அனுப்பி கவுண்டர்கள் நகர்கின்றன என்பதை உறுதிப்படுத்தவும், ஏனெனில் மேலே இருந்தும் எதையும் கடத்தாத சுரங்கப்பாதை சரிபார்க்கும் வரை வேலை செய்வது போலவே தெரிகிறது.

மூன்று மதிப்புகளையும் உங்கள் குறிப்புகளில் ஒரே இடத்தில் வைத்திருங்கள்: சாதனத்திடம் உள்ள உள்ளூர் முகவரி, NAT சாதனம் வழங்கும் பொது முனைப்புள்ளி, சகா எதிர்பார்க்கும் அடையாளச் சரம். அவை வெவ்வேறு காரணங்களால், வெவ்வேறு நேரங்களில் மாறுகின்றன.

NAT சாதனத்தை மறுஎண்ணிடுதல் FortiGate-இன் local-gw ஐத் தொடுவதற்கான காரணம் அல்ல, அடையாள மாற்றம் எதையும் மறுஎண்ணிடுவதற்கான காரணம் அல்ல. இரண்டையும் கலப்பதே தொடர்பில்லாத பராமரிப்பு சாளரத்தில் வேலை செய்யும் சுரங்கப்பாதையை மீண்டும் கட்டும் வழி. Cloud VPN NAT வழிகாட்டி அந்தப் பக்கத்தின் ஆதரவு இடவியலுக்கான குறிப்பு.

இதைத் தீர்மானிக்கும் சோதனை சலிப்பானது மற்றும் வேகமானது: வெளிப்புற இடைமுகத்தில் பிடிப்பு செய்யவும், சகாவிடமிருந்து UDP 500 மற்றும் 4500 வருகின்றன என்பதை உறுதிப்படுத்தவும், IKE பரிமாற்றத்தில் உள்ள அடையாளம் சகா எதிர்பார்க்க கட்டமைக்கப்பட்டதுடன் பொருந்துகிறது என்பதை உறுதிப்படுத்தவும், பின்னர் பேச்சுவார்த்தை செய்யப்பட்ட தேர்விகள் உங்களுக்கு முக்கியமான சப்நெட்டுகளை உள்ளடக்குகின்றன என்பதை உறுதிப்படுத்தவும். முதல் சரிபார்ப்பு தோல்வியடைந்தால், சந்தேகத்திற்குரியது NAT சாதனம். இரண்டாவது தோல்வியடைந்தால், அடையாளப் புலங்கள். மூன்றாவது தோல்வியடைந்தால், NAT அல்லது அடையாளம் ஒருபோதும் பிரச்சினையாக இல்லை.