IOS VPN çıkışında NAT'ın iç ve dış rolünü hangi arayüz alır
Şifresi çözülmüş istemci paketini sanal arayüzden üst bağlantıya kadar izleyin. Çeviri bu iç akışa aittir, tünelin dış taşımasına değil.
Tam tünelli internet çıkışı sağlayan yönlendiriciler, tek gibi görünen iki iş yapar. Tüneli sonlandırır ve şifresi çözülmüş istemci paketini internete iletir. Yalnızca ikinci iş çeviri gerektirir ve çeviri iç akışla eşleşmelidir. Bu ayrım, hangi arayüzlerin NAT rollerini taşıdığını ve kuralda hangi adres aralığının göründüğünü belirler.
Bir paketi yönlendiriciden geçirerek izleyin
10.90.0.25 adresindeki bir istemcinin genel bir HTTPS hizmeti açtığını varsayın. Bu hedefin tünele girip girmeyeceği istemcinin kendi ilke kararıdır. Girdiğinde yönlendirici paketin şifresini çözer ve onu sanal bir arayüze teslim eder, oradan genel üst bağlantıya yönlendirilir.
O sanal arayüz çevirinin iç tarafıdır. Genel üst bağlantı dış taraftır. Roller ters veya eksikse paket ya özel bir kaynakla çıkar ya da çevrilmeden önce düşürülür.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Çeviri ilkesini istemci havuzuyla eşleştirin
NAT kuralı, istemcilerin gerçekte aldığı aralığı adlandırmalıdır, üst bağlantıyı tesadüfen paylaşan ofis LAN'ını değil. Yalnızca yerel alt ağı kapsayan bir kural, ikisi de aynı arayüzden çıksa bile uzak istemcileri kaçırır.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadÖzel site istisnalarını ayrı tutun. İç hedeflere giden trafik özgün kaynağını korumalıdır, aksi halde hedef ulaşamayacağı bir adrese yanıt verir ve dönüş ayağı yönlendirme döngüsü gibi görünen bir biçimde başarısız olur.
Rolleri, dağıtılmış tasarımdaki gerçek arayüzlere uygulayın. Eski bir Easy VPN yanıtından kopyalanan Virtual-Template parçası tam ve güncel bir yapılandırma değildir ve kullanılan tünel türü, şifresi çözülmüş paketi hangi arayüzün alacağını belirler.
Dış taşıma ile iç çeviriyi ayrı tutun
Şifresi çözülmüş bir uygulama kaynağını çevirmek, IKE veya korumalı paketleri yukarıdaki bir NAT cihazından itmekle aynı işlem değildir. Birincisi internetin istemci isteğinin kaynağı olarak ne gördüğünü değiştirir; ikincisi bir ara cihaz üzerinden tüneli canlı tutar.
Bunları karıştırmak iki klasik arıza üretir. Kendi tünel taşımasını çeviren yönlendirici eş ilişkisini bozar, iç akışı hiç çevirmeyen yönlendirici ise özel adresleri internete iletir. Bir kuralı düzenlemeden önce hangi akışa baktığınızı okuyun ve değişiklikten sonra tünelin ayakta kalıp kalmadığını kontrol edin. Gözatmayı düzeltip tüneli düşüren bir kural, sorunu çözmek yerine taşımıştır.
Arızalardan hiçbiri diğerini değiştirerek giderilmez. Bir kuralı düzenlemeden önce hangi akışa baktığınızı okuyun.
Her iki sınırda doğrulayın
İnternet sınırında uygulama kaynağını ve dönüş ayağında geri yüklenen hedefi okuyun. Birincisi çevirinin gerçekleşip gerçekleşmediğini söyler; ikincisi ters eşlemenin doğru istemciye geri dönüp dönmediğini söyler.
Ardından onaylı bir bölünmüş tünel yolu kullanan bir istemciyi test edin. O istemci bu yönlendiricinin internet çevirisini hiç kullanmaz, bu yüzden farklı davranmalıdır ve fark, trafiğin hangi yolu izlediğini doğrular.
Her iki istemci aynı şekilde davranıyorsa bölünmüş tünel ilkesi tasarımın söylediğini yapmıyordur. Daha fazla çeviri kuralı eklemeden önce bunu düzeltin, çünkü kullanılmayan bir yol için yazılmış kural gerçek sorunu gizler.