NAT orqasidagi FortiGate: local-gw, localid va ommaviy IP

NAT orqasidagi FortiGate o'zining WAN interfeysida 10.0.0.2 manziliga ega bo'lishi mumkin, shu bilan birga internet uni 198.51.100.40 sifatida ko'rsatadi va ikkala raqam ham haqiqiy. Qurilma bog'lanadigan manzil va IKE autentifikatsiyasi paytida yuboradigan identifikator alohida qarorlar bo'lib, alohida maydonlarda, alohida auditoriya uchun qabul qilinadi. NAT yo'lda tashqi manzillashni qayta yozadi; autentifikatsiyalangan identifikatorni uzoq peer kutgan narsaga qayta yozmaydi. Bu shakldagi 1-faza xatolarining ko'pchiligi to'g'ri qiymatni noto'g'ri maydonga qo'yishdan kelib chiqadi.

Uchta qiymat, uchta egasi

Uchta qiymatni va har birining egasini nomlashdan boshlang. local-gw — FortiGate tashqi interfeysda IKE uchun manba sifatida ishlatadigan manzil va u qurilma haqiqatan ham ega bo'lgan manzil bo'lishi kerak. Ommaviy so'nggi nuqta — NAT qurilmasining manzili va u tarjimani bajaruvchiga tegishli. IKE identifikatori — peer o'z konfiguratsiyasi bilan taqqoslaydigan satr va u umuman IP manzil bo'lishi shart emas.

Maydon nomlari almashtirishga undaydigan darajada yaqin va tuzoq ham shunda. localid va localid-type identifikatsiyani tavsiflaydi; local-gw mahalliy bog'lanishni tavsiflaydi.

Misol farqni aniq qiladi. FortiGate'da config vpn ipsec phase1-interface ni oching, keyin set interface "wan1" va set local-gw 10.0.0.2 ni sozlang — quti ega bo'lgan manzil, va aynan shu IKE soketining muvaffaqiyatli bog'lanishini ta'minlaydi. local-gw ni 0.0.0.0 da qoldirsangiz, interfeys manzili ishlatiladi, bu odatda bir xil narsa, lekin kamroq aniq. local-gw ni 198.51.100.40 manziliga qo'ymang, chunki qurilma bu manzilga ega emas va soket unga bog'lanmaydi. Ikki qiymatni qog'ozda teng ko'rsatish konfiguratsiya emas.

1-qadam: peer qabul qiladigan identifikatorni tanlang

Endi identifikator, bu boshqa qaror. set localid peer taqqoslaydigan qiymatni oladi, set localid-type esa FortiGate'ga uni qanday talqin qilishni aytadi: manzil, FQDN, foydalanuvchi FQDN yoki kalit ID. auto bilan qurilma uni chiqaradi, odatda chiqish interfeysining manzilidan, bu NAT qurilmasi o'zgartirmoqchi bo'lgan qiymatning o'zi.

Aynan shu chiqarish bu topologiyada aniq identifikatorning muhimligi sababidir. Agar peer manzil identifikatorini kutsa, localid-type address va localid ni peer ko'radigan ommaviy manzilga sozlang, keyin peer bu qiymatni marshrutlash maqsadi emas, identifikator sifatida qabul qilishini tasdiqlang. Agar peer FQDN kutsa, localid-type fqdn va u sozlangan nomni ishlating. Haqiqatda nima yuborilganini diagnose vpn ike gateway list bilan tekshiring, u shlyuz holatini va ishlatilayotgan identifikatorlarni ko'rsatadi, siz yozmoqchi bo'lgan narsani emas. Identifikator turi opsiyasi har qanday mahalliy bo'lmagan manzilni qabul qiladi deb o'ylamang; avval nashrning hujjatlashtirilgan semantikasini tekshiring.

2-qadam: UDP 500 va 4500 ni qurilmaga yo'naltiring

Uchinchi qiymat NAT qurilmasiga tegishli va odamlar tekshirishni unutadigan qiymat ham shu. Ommaviy so'nggi nuqta UDP 500 va UDP 4500 ni FortiGate'ga yo'naltirishi kerak, chunki NAT-T aniqlash va undan keyingi inkapsulyatsiyalangan ESP ikkalasi ham bu portlarning kelishiga bog'liq. Bu dizayn birga-bir xaritalashni nazarda tutadi; bitta ommaviy manzilni bir nechta peer o'rtasida port bo'yicha bo'lishish boshqa chegaralarga ega boshqa topologiya.

Yo'naltirishni umid bilan emas, ushlash bilan tasdiqlang: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 paketlarning kelayotganini va javoblarning chiqayotganini ko'rsatadi.

Google Cloud VPN NAT orqasidagi peer uchun qo'llab-quvvatlanadigan tartib sifatida NAT-T bilan birga-bir NAT ni hujjatlashtiradi va agar uzoq tomon Cloud VPN shlyuzi bo'lsa, aynan shu cheklovga qarshi loyihalash kerak. Birga-ko'p yoki port bo'yicha bo'lishish o'sha qo'llab-quvvatlanadigan topologiya emas va mahalliy identifikator sozlash buni o'zgartirmaydi. Agar uzoq tomon boshqa qurilma bo'lsa, uning o'z hujjatlari identifikator sifatida nima qabul qilishini va tarjima qilingan peer manziliga toqat qilishini belgilaydi. Mahalliy maydonni o'zgartirishdan oldin uni o'qing, chunki mahalliy tomon uzoq tomon amal qilmaydigan qoidani kelisha olmaydi.

3-qadam: 1-faza nimani hal qilmasligini tekshiring

NAT dan o'tish tunnelni ko'taradi, identifikator kelishuvi peer uni qabul qilishini hal qiladi, ichki prefiks marshrutlash esa haqiqatda nima o'tishini hal qiladi. To'g'ri mahalliy ID yetishmayotgan statik marshrutni yoki yetishmayotgan trafik selektorini bera olmaydi.

Shuning uchun qatlam-qatlam tekshiring. get vpn ipsec tunnel details tunnel ko'tarilganini va qaysi selektorlar kelishilganini ko'rsatadi, sozlangan uzoq subnet va kelishilgan selektor o'rtasidagi nomuvofiqlik esa 2-faza kiyimidagi marshrutlash muammosi. execute vpn ike gateway clear qayta kelishuvga majbur qiladi, shuning uchun siz joriy konfiguratsiyani sinovdan o'tkazasiz, oxirgi o'zgarishingizdan oldin o'rnatilgan sessiyani emas. Keyin uzoq prefiksdagi xostga trafik yuboring va hisoblagichlar harakatlanishini tasdiqlang, chunki ko'tarilgan va hech narsa o'tkazmaydigan tunnel tekshirmaguningizcha ishlayotgan tunnelga o'xshab ko'rinadi.

Uchta qiymatni yozuvlaringizda bir joyda saqlang: qurilma ega bo'lgan mahalliy manzil, NAT qurilmasi taqdim etadigan ommaviy so'nggi nuqta va peer kutadigan identifikator satri. Ular turli sabablarga ko'ra va turli vaqtlarda o'zgaradi.

NAT qurilmasini qayta raqamlash FortiGate'ning local-gw maydoniga tegish uchun sabab emas, identifikatorni o'zgartirish esa biror narsani qayta raqamlash uchun sabab emas. Ikkalasini aralashtirish ishlayotgan tunnelni aloqasiz texnik xizmat oynasida qayta qurish usulidir. Cloud VPN NAT qo'llanmasi o'sha tomondagi qo'llab-quvvatlanadigan topologiya uchun havola.

Buni hal qiladigan sinov zerikarli va tez: tashqi interfeysda ushlash qiling, UDP 500 va 4500 peer'dan kelayotganini tasdiqlang, IKE almashinuvidagi identifikator peer kutishga sozlanganiga mos kelishini tasdiqlang, keyin kelishilgan selektorlar sizga muhim subnetlarni qamrab olishini tasdiqlang. Birinchi tekshiruv muvaffaqiyatsiz bo'lsa, gumondor — NAT qurilmasi. Ikkinchisi bo'lsa, identifikator maydonlari. Uchinchisi bo'lsa, NAT ham, identifikator ham hech qachon muammo bo'lmagan.