Azure siteden siteye VPN ve NAT arkasındaki eş: kontrol listesi

Bu kontrolleri sırayla yapın ve ilk başarısız olanda durun. Azure’un NAT arkasındaki cihazı desteklemediği yönündeki bildirimlerin çoğu aslında Azure’un ulaşamadığı bir eş adresi ya da hiçbir zaman doğru taraftan başlamayan bir tüneldir. Dış taşıma ile iç yönlendirme iki ayrı sorundur ve bunları karıştırmak bir öğleden sonrayı harcar. Aşağıdaki her adım, başkasına verebileceğiniz bir gözlem üretir.

Adım 1: eşin gerçekten NAT arkasında olduğunu doğrulayın

Cihazın WAN arayüzündeki adresi Azure’un onun için gördüğü adresle karşılaştırın. Farklıysa bir şey çeviriyor demektir ve o çevirici artık VPN tasarımınızın bir parçasıdır. Sağlayıcıya eşlemenin statik mi paylaşımlı mı olduğunu sorun, çünkü paylaşımlı bir eşleme neye güvenebileceğinizi değiştirir. Özel WAN adresi olup yönlendirmesi bulunmayan bir cihaz, kararlı bir genel eşlemeye sahip operatör düzeyinde NAT arkasındaki cihazdan farklı bir durumdur.

İki adres aynıysa burada durun: NAT sizin sorununuz değil ve listenin geri kalanı yardımcı olmaz.

Her iki adresi ve çeviricinin modelini bilete yazın. O tek satır, yapılandırılmış eşin neden yanıt vermediğine dair bir sonraki soru turunu önler.

Adım 2: kimin başlatacağı konusunda anlaşın

Azure VPN Gateway SSS, NAT-T desteğini belirtir ve şirket içi cihaz NAT arkasındaysa IPsec tünelini onun başlatması gerektiğini ekler. Bu, durum tutan çevirinin nasıl çalıştığıyla örtüşür, çünkü çevirici iç cihaz ilk paketi gönderdiği için eşlemeyi tutar. Azure’un başlatması bekleniyor ve o eşlemeyi oluşturacak hiçbir şey gelmiyorsa tünel hiç başlamaz.

Eşi, yalnızca-yanıtlayıcı hatası belirgin olacak şekilde yapılandırın ve cihazın kendi kendine yeniden denediğini mi yoksa bir tetikleyiciye mi ihtiyaç duyduğunu kontrol edin. Bazı cihazlar tüneli yalnızca ilgi çekici trafik göründüğünde kaldırır; bu, ilgi çekici trafik hiç gelmeyen bir sağlık yoklaması olana kadar sorun değildir.

Elle başlatma sırasında cihazdaki IKE alışverişini izleyin; oradaki sessizlik yönlendirme ya da güvenlik duvarı yanıtıdır, Azure yanıtı değildir.

Adım 3: eş adresini doğru ayarlayın

Azure’un yerel ağ geçidi nesnesinde eş için erişilebilir bir genel adrese ihtiyacı vardır; bu genellikle cihazın iç adresi değil çeviricinin genel adresidir. Cihazın kimlik doğruladığı kimlik ayrı bir alandır ve Azure’un aradığı adresten meşru biçimde farklı olabilir. İkisini ayrı tutun, çünkü yerlerini değiştirmek tam olarak NAT sorununa benzeyen bir kimlik doğrulama hatası üretir.

Genel adres değişirse o nesne de onunla değişmelidir. Eski bir adrese çözülen bir ad, elle güncellemeniz gereken statik bir adresten daha kötüdür.

Üç değeri de yazın: cihazın yerel adresi, çevrilmiş genel adres ve yapılandırılmış eş kimliği.

Adım 4: yalnızca NAT-T’nin ihtiyacı olan bağlantı noktalarını açın

NAT-T, ESP’yi UDP içinde taşır ve RFC 3948 bu kapsüllemeyi 500 numaralı bağlantı noktasındaki ilk görüşmeden sonra kullanılan 4500 numaralı bağlantı noktasıyla tanımlar. Güvenlik duvarınız ve çevirici, alışverişe ve dönüş trafiğine birlikte izin vermelidir. İlgisiz bir TCP bağlantı noktasına izin vermek bu yol hakkında hiçbir şey kanıtlamaz ve giden trafiğe izin verip yanıta vermeyen bir kural yine de başarısız olur.

Eş başlattığında ve çevirici durum tuttuğunda statik gelen bağlantı noktası yönlendirmesi otomatik olarak gerekli değildir. Eşleme kararsız olduğunda veya yoldaki bir şey durumu agresif biçimde sona erdirdiğinde gerekli hale gelir.

Çeviricinin iki tarafında bir kez kayıt alın; kapsülleme farkı hemen görünür.

Adım 5: dış taşımayı iç yönlendirmeden ayırın

Kurulan ve hiçbir şey taşımayan bir tünel yönlendirme sorunudur, NAT-T sorunu değildir. Siteler hâlâ uyumlu trafik seçicilerine, eşleşen adres alanlarına, erişim kurallarına ve uygulama ağları için dönüş yoluna ihtiyaç duyar. Bunların hiçbirini başarılı bir IKE alışverişi sağlamaz.

İki site çakışan özel aralıklar kullanıyorsa tünel içinde çeviri, kendi kuralları olan ayrı bir tasarımdır. Dış ağ geçidi bir ev yönlendiricisinin arkasında diye bir alt ağı yeniden numaralandırmayın.

Herhangi bir şeyi değiştirmeden önce arızayı aşamaya göre sınıflandırın ve bu sınıflandırmayı bilete koyun ki bir sonraki kişi sizin durduğunuz yerden başlasın.