IOS VPN నిష్క్రమణలో NAT లోపలి మరియు బయటి పాత్రను ఏ ఇంటర్ఫేస్ పొందుతుంది
డీక్రిప్ట్ చేసిన క్లయింట్ ప్యాకెట్ను వర్చువల్ ఇంటర్ఫేస్ నుండి అప్లింక్ వరకు అనుసరించండి. అనువాదం ఈ లోపలి ప్రవాహంపై ఉంటుంది, టన్నెల్ బయటి రవాణాపై కాదు.
పూర్తి టన్నెల్ ఇంటర్నెట్ నిష్క్రమణను అందించే రౌటర్లు ఒకటేలా కనిపించే రెండు పనులు చేస్తాయి. అది టన్నెల్ను ముగిస్తుంది, డీక్రిప్ట్ చేసిన క్లయింట్ ప్యాకెట్ను ఇంటర్నెట్కు పంపుతుంది. రెండవ పనికి మాత్రమే అనువాదం అవసరం, అనువాదం లోపలి ప్రవాహానికి సరిపోలాలి. ఆ భేదమే ఏ ఇంటర్ఫేస్లు NAT పాత్రలు వహిస్తాయి, నియమంలో ఏ చిరునామా పరిధి కనిపిస్తుంది అనేది నిర్ణయిస్తుంది.
ఒక ప్యాకెట్ను రౌటర్ గుండా అనుసరించండి
పబ్లిక్ HTTPS సేవను తెరుస్తున్న 10.90.0.25 వద్ద ఉన్న క్లయింట్ను తీసుకోండి. ఆ గమ్యం టన్నెల్లోకి వస్తుందా అనేది క్లయింట్ సొంత విధాన నిర్ణయం. వచ్చిన తర్వాత రౌటర్ ప్యాకెట్ను డీక్రిప్ట్ చేసి వర్చువల్ ఇంటర్ఫేస్కు ఇస్తుంది, అక్కడి నుండి అది పబ్లిక్ అప్లింక్కు మార్గనిర్దేశం చేయబడుతుంది.
ఆ వర్చువల్ ఇంటర్ఫేస్ అనువాదం లోపలి వైపు. పబ్లిక్ అప్లింక్ బయటి వైపు. పాత్రలు తలకిందులైనా లేక లేకపోయినా, ప్యాకెట్ ప్రైవేట్ మూలంతో బయటకు వెళ్తుంది, లేదా అనువదించబడకముందే విస్మరించబడుతుంది.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
అనువాద విధానాన్ని క్లయింట్ పూల్కు సరిపోల్చండి
NAT నియమం క్లయింట్లు వాస్తవంగా పొందే పరిధిని పేర్కొనాలి, అప్లింక్ను యాదృచ్ఛికంగా పంచుకునే ఆఫీస్ LAN కాదు. స్థానిక సబ్నెట్ను మాత్రమే కవర్ చేసే నియమం, రెండూ ఒకే ఇంటర్ఫేస్ ద్వారా బయటకు వెళ్లినా దూర క్లయింట్లను మిస్ అవుతుంది.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadప్రైవేట్ సైట్ మినహాయింపులను విడిగా ఉంచండి. అంతర్గత గమ్యాలకు ట్రాఫిక్ తన అసలు మూలాన్ని నిలుపుకోవాలి, లేకపోతే గమ్యం తనకు చేరుకోలేని చిరునామాకు సమాధానం ఇస్తుంది మరియు తిరిగి వచ్చే భాగం రూటింగ్ లూప్లా కనిపించే విధంగా విఫలమవుతుంది.
అమలు చేసిన డిజైన్లోని నిజమైన ఇంటర్ఫేస్లకు పాత్రలను వర్తింపజేయండి. పాత Easy VPN సమాధానం నుండి కాపీ చేసిన Virtual-Template శకలం పూర్తి ప్రస్తుత కాన్ఫిగరేషన్ కాదు, మరియు ఉపయోగిస్తున్న టన్నెల్ రకం ఏ ఇంటర్ఫేస్ డీక్రిప్ట్ చేసిన ప్యాకెట్ను స్వీకరిస్తుందో నిర్ణయిస్తుంది.
బయటి రవాణాను మరియు లోపలి అనువాదాన్ని వేరుగా ఉంచండి
డీక్రిప్ట్ చేసిన అప్లికేషన్ మూలాన్ని అనువదించడం, IKE లేదా రక్షిత ప్యాకెట్లను పైన ఉన్న NAT పరికరం గుండా నెట్టడం వంటి ఒకే చర్య కాదు. మొదటిది ఇంటర్నెట్ క్లయింట్ అభ్యర్థన మూలంగా ఏమి చూస్తుందో మారుస్తుంది; రెండవది మధ్యవర్తి పరికరం గుండా టన్నెల్ను సజీవంగా ఉంచుతుంది.
వాటిని కలపడం రెండు సాంప్రదాయ వైఫల్యాలను కలిగిస్తుంది. తన సొంత టన్నెల్ రవాణాను అనువదించే రౌటర్ పీర్ సంబంధాన్ని బద్దలు కొడుతుంది, అయితే లోపలి ప్రవాహాన్ని ఎప్పుడూ అనువదించని రౌటర్ ప్రైవేట్ చిరునామాలను ఇంటర్నెట్కు పంపుతుంది. ఒక నియమాన్ని సవరించే ముందు మీరు ఏ ప్రవాహాన్ని చూస్తున్నారో చదవండి, మార్పు తర్వాత టన్నెల్ నిలిచిందో లేదో తనిఖీ చేయండి. బ్రౌజింగ్ను సరిచేసి టన్నెల్ను పడగొట్టే నియమం సమస్యను పరిష్కరించడం బదులు దాన్ని కదిలించింది.
ఏ వైఫల్యం మరొకదాన్ని మార్చడం ద్వారా సరిచేయబడదు. ఒక నియమాన్ని సవరించే ముందు మీరు ఏ ప్రవాహాన్ని చూస్తున్నారో చదవండి.
రెండు సరిహద్దుల్లోనూ ధృవీకరించండి
ఇంటర్నెట్ సరిహద్దులో అప్లికేషన్ మూలాన్ని, తిరిగి వచ్చే భాగంలో పునరుద్ధరించిన గమ్యాన్ని చదవండి. మొదటిది అనువాదం జరిగిందా అని చెబుతుంది; రెండవది రివర్స్ మ్యాపింగ్ సరైన క్లయింట్ వద్దకు తిరిగి వచ్చిందా అని చెబుతుంది.
తర్వాత ఆమోదించిన స్ప్లిట్-టన్నెల్ మార్గాన్ని ఉపయోగించే క్లయింట్ను పరీక్షించండి. ఆ క్లయింట్ ఈ రౌటర్ ఇంటర్నెట్ అనువాదాన్ని ఎప్పుడూ ఉపయోగించదు, కాబట్టి అది భిన్నంగా ప్రవర్తించాలి, మరియు భేదం ట్రాఫిక్ ఏ మార్గంలో వెళ్లిందో నిర్ధారిస్తుంది.
రెండు క్లయింట్లు ఒకేలా ప్రవర్తిస్తే, స్ప్లిట్-టన్నెల్ విధానం డిజైన్ చెప్పినది చేయడం లేదు. మరిన్ని అనువాద నియమాలు జోడించే ముందు దాన్ని సరిచేయండి, ఎందుకంటే ఉపయోగంలో లేని మార్గానికి రాసిన నియమం నిజమైన సమస్యను దాచుతుంది.