NAT వెనుక FortiGate: local-gw, localid మరియు పబ్లిక్ IP

NAT వెనుక ఉన్న FortiGate తన WAN ఇంటర్‌ఫేస్‌లో 10.0.0.2 కలిగి ఉండవచ్చు, అయితే ఇంటర్నెట్ దానిని 198.51.100.40 గా చూపుతుంది, రెండు సంఖ్యలూ నిజమైనవి. పరికరం బంధించే చిరునామా మరియు IKE ధృవీకరణ సమయంలో పంపే గుర్తింపు వేర్వేరు నిర్ణయాలు, వేర్వేరు ఫీల్డ్‌లలో, వేర్వేరు ప్రేక్షకుల కోసం తీసుకోబడతాయి. NAT దారిలో బాహ్య చిరునామాన్ని తిరిగి రాస్తుంది; ధృవీకరించిన గుర్తింపును దూర పీర్ ఆశించే రూపంలోకి తిరిగి రాయదు. ఈ రూపంలో చాలా దశ 1 వైఫల్యాలు సరైన విలువను తప్పు ఫీల్డ్‌లో పెట్టడం వల్ల వస్తాయి.

మూడు విలువలు, మూడు యజమానులు

మూడు విలువలను మరియు ప్రతి దాని యజమానిని పేరు పెట్టడంతో ప్రారంభించండి. local-gw అనేది FortiGate తన బాహ్య ఇంటర్‌ఫేస్‌లో IKE కి మూలంగా ఉపయోగించే చిరునామా, అది పరికరం నిజంగా కలిగి ఉన్న చిరునామా అయి ఉండాలి. పబ్లిక్ ఎండ్‌పాయింట్ అనేది NAT పరికరం చిరునామా, అది అనువాదం చేసేవారికి చెందుతుంది. IKE గుర్తింపు అనేది పీర్ తన స్వంత కాన్ఫిగరేషన్‌తో పోల్చే స్ట్రింగ్, అది IP చిరునామా అయి ఉండాల్సిన అవసరం లేదు.

ఫీల్డ్ పేర్లు భర్తీకి ఆహ్వానించేంత దగ్గరగా ఉన్నాయి, అదే ఉచ్చు. localid మరియు localid-type గుర్తింపును వివరిస్తాయి; local-gw స్థానిక బంధాన్ని వివరిస్తుంది.

ఒక ఉదాహరణ భేదాన్ని స్పష్టం చేస్తుంది. FortiGate లో config vpn ipsec phase1-interface తెరవండి, తర్వాత set interface "wan1" మరియు set local-gw 10.0.0.2 — బాక్స్ కలిగి ఉన్న చిరునామా, ఇదే IKE సాకెట్ విజయవంతంగా బంధించడానికి కారణం. local-gw 0.0.0.0 వద్ద వదిలేస్తే ఇంటర్‌ఫేస్ చిరునామా ఉపయోగించబడుతుంది, ఇది సాధారణంగా అదే విషయం కానీ తక్కువ స్పష్టం. local-gw 198.51.100.40 కు సెట్ చేయవద్దు, ఎందుకంటే పరికరం ఆ చిరునామా కలిగి లేదు మరియు సాకెట్ దానికి బంధించదు. రెండు విలువలను కాగితంపై సమానంగా చూపడం కాన్ఫిగరేషన్ కాదు.

దశ 1: పీర్ అంగీకరించే గుర్తింపును ఎంచుకోండి

ఇప్పుడు గుర్తింపు, అది వేరే నిర్ణయం. set localid పీర్ పోల్చే విలువను తీసుకుంటుంది, set localid-type FortiGate కి దానిని ఎలా అర్థం చేసుకోవాలో చెబుతుంది: ఒక చిరునామా, FQDN, వినియోగదారు FQDN లేదా కీ ID. auto తో పరికరం దానిని పొందుతుంది, సాధారణంగా బయటకు వెళ్లే ఇంటర్‌ఫేస్ చిరునామా నుండి, అది NAT పరికరం మార్చబోయే విలువ.

ఈ పొందికే ఈ టోపోలజీలో స్పష్టమైన గుర్తింపు ముఖ్యమైనదానికి కారణం. పీర్ చిరునామా గుర్తింపును ఆశిస్తే, localid-type address మరియు localid లను పీర్ చూసే పబ్లిక్ చిరునామాకు సెట్ చేయండి, తర్వాత పీర్ ఆ విలువను రూటింగ్ లక్ష్యంగా కాకుండా గుర్తింపుగా అంగీకరిస్తుందని నిర్ధారించండి. పీర్ FQDN ఆశిస్తే, localid-type fqdn మరియు అది కాన్ఫిగర్ చేయబడిన పేరును ఉపయోగించండి. వాస్తవంగా ఏమి పంపబడిందో diagnose vpn ike gateway list తో ధృవీకరించండి, అది గేట్‌వే స్థితిని మరియు ఉపయోగంలో ఉన్న గుర్తింపుదారులను చూపుతుంది, మీరు టైప్ చేయాలనుకున్నది కాదు. గుర్తింపు రకం ఎంపిక ఏదైనా స్థానికేతర చిరునామాను అంగీకరిస్తుందని ఊహించవద్దు; మొదట విడుదల యొక్క డాక్యుమెంట్ చేసిన అర్థాన్ని తనిఖీ చేయండి.

దశ 2: UDP 500 మరియు 4500 లను పరికరానికి పంపండి

మూడవ విలువ NAT పరికరానికి చెందుతుంది, అదే ప్రజలు తనిఖీ చేయడం మరచిపోతారు. పబ్లిక్ ఎండ్‌పాయింట్ UDP 500 మరియు UDP 4500 లను FortiGate కి పంపాలి, ఎందుకంటే NAT-T గుర్తింపు మరియు దాని తర్వాత వచ్చే ఎన్‌క్యాప్సులేటెడ్ ESP రెండూ ఆ పోర్టులు రావడంపై ఆధారపడతాయి. ఈ డిజైన్ ఒకటి-కి-ఒకటి మ్యాపింగ్‌ను ఊహిస్తుంది; ఒక పబ్లిక్ చిరునామాను అనేక పీర్ల మధ్య పోర్ట్ ఆధారంగా పంచుకోవడం వేరే పరిమితులతో కూడిన వేరే టోపోలజీ.

పంపడాన్ని క్యాప్చర్‌తో నిర్ధారించండి, ఆశతో కాదు: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 ప్యాకెట్లు వస్తున్నాయా మరియు ప్రతిస్పందనలు వెళ్తున్నాయా అని చూపుతుంది.

Google Cloud VPN, NAT వెనుక ఉన్న పీర్ కోసం మద్దతు ఉన్న ఏర్పాటుగా NAT-T తో ఒకటి-కి-ఒకటి NAT ను డాక్యుమెంట్ చేస్తుంది, దూర చివర Cloud VPN గేట్‌వే అయితే ఈ పరిమితికి వ్యతిరేకంగా డిజైన్ చేయాలి. ఒకటి-కి-అనేక లేదా పోర్ట్ ఆధారిత పంపకం అదే మద్దతు టోపోలజీ కాదు, స్థానిక గుర్తింపు ట్యూనింగ్ దానిని మార్చదు. దూర వైపు మరో పరికరం అయితే, దాని స్వంత డాక్యుమెంటేషన్ గుర్తింపుగా ఏమి అంగీకరిస్తుందో మరియు అనువదించిన పీర్ చిరునామాను సహిస్తుందో లేదో నిర్వచిస్తుంది. స్థానిక ఫీల్డ్‌ను మార్చే ముందు దాన్ని చదవండి, ఎందుకంటే దూర వైపు అమలు చేయని నియమాన్ని స్థానిక వైపు చర్చించలేదు.

దశ 3: దశ 1 ఏమి పరిష్కరించదో తనిఖీ చేయండి

NAT ట్రావర్సల్ టన్నెల్‌ను పైకి లేపుతుంది, గుర్తింపు ఒప్పందం పీర్ దానిని అంగీకరిస్తుందో లేదో నిర్ణయిస్తుంది, లోపలి ప్రిఫిక్స్ రూటింగ్ వాస్తవంగా ఏమి దాటుతుందో నిర్ణయిస్తుంది. సరైన స్థానిక ID తప్పిపోయిన స్టాటిక్ మార్గాన్ని లేదా తప్పిపోయిన ట్రాఫిక్ సెలెక్టర్‌ను అందించలేదు.

కాబట్టి పొరల వారీగా ధృవీకరించండి. get vpn ipsec tunnel details టన్నెల్ పైన ఉందో లేదో మరియు ఏ సెలెక్టర్లు చర్చించబడ్డాయో చూపుతుంది, కాన్ఫిగర్ చేసిన దూర సబ్‌నెట్ మరియు చర్చించిన సెలెక్టర్ మధ్య వ్యత్యాసం దశ 2 వేషధారణలో రూటింగ్ సమస్య. execute vpn ike gateway clear తిరిగి చర్చలకు బలవంతం చేస్తుంది, కాబట్టి మీరు ప్రస్తుత కాన్ఫిగరేషన్‌ను పరీక్షిస్తున్నారు, మీ చివరి మార్పుకు ముందు ఏర్పాటు చేసిన సెషన్ కాదు. తర్వాత దూర ప్రిఫిక్స్‌లోని హోస్ట్‌కు ట్రాఫిక్ పంపి కౌంటర్లు కదులుతున్నాయని నిర్ధారించండి, ఎందుకంటే పైన ఉన్నా ఏమీ దాటించని టన్నెల్ తనిఖీ చేసే వరకు పని చేసే దానిలా కనిపిస్తుంది.

మూడు విలువలను మీ నోట్స్‌లో ఒకే చోట ఉంచండి: పరికరం కలిగి ఉన్న స్థానిక చిరునామా, NAT పరికరం అందించే పబ్లిక్ ఎండ్‌పాయింట్, మరియు పీర్ ఆశించే గుర్తింపు స్ట్రింగ్. అవి వేర్వేరు కారణాల వల్ల, వేర్వేరు సమయాల్లో మారుతాయి.

NAT పరికరాన్ని తిరిగి నంబరింగ్ చేయడం FortiGate యొక్క local-gw ను తాకడానికి కారణం కాదు, గుర్తింపు మార్పు ఏదైనా తిరిగి నంబర్ చేయడానికి కారణం కాదు. రెండింటిని కలపడమే సంబంధం లేని నిర్వహణ విండోలో పని చేసే టన్నెల్‌ను తిరిగి నిర్మించే మార్గం. Cloud VPN NAT మార్గదర్శిని ఆ వైపు మద్దతు ఉన్న టోపోలజీకి సూచన.

దీన్ని నిర్ణయించే పరీక్ష బోరింగ్ మరియు వేగవంతమైనది: బాహ్య ఇంటర్‌ఫేస్‌లో క్యాప్చర్ చేయండి, పీర్ నుండి UDP 500 మరియు 4500 వస్తున్నాయని నిర్ధారించండి, IKE మార్పిడిలోని గుర్తింపు పీర్ ఆశించడానికి కాన్ఫిగర్ చేసిన దానితో సరిపోలుతుందని నిర్ధారించండి, తర్వాత చర్చించిన సెలెక్టర్లు మీకు ముఖ్యమైన సబ్‌నెట్‌లను కవర్ చేస్తాయని నిర్ధారించండి. మొదటి తనిఖీ విఫలమైతే, అనుమానితం NAT పరికరం. రెండవది విఫలమైతే, గుర్తింపు ఫీల్డ్‌లు. మూడవది విఫలమైతే, NAT లేదా గుర్తింపు ఎప్పుడూ సమస్య కాదు.