IOS VPN chiqishida NAT ichki va tashqi rolini qaysi interfeys oladi
Shifri ochilgan mijoz paketini virtual interfeysdan yuqori havolaga qadar kuzatib boring. Tarjima shu ichki oqimga tegishli, tunnelning tashqi transportiga emas.
To'liq tunnel internet chiqishini ta'minlaydigan routerlar bitta ko'rinadigan ikkita ishni bajaradi. U tunnelni tugatadi va shifri ochilgan mijoz paketini internetga uzatadi. Faqat ikkinchi ish tarjimani talab qiladi, tarjima esa ichki oqimga mos bo'lishi kerak. Bu farq qaysi interfeyslar NAT rollarini olishini va qoidada qaysi manzil oralig'i ko'rinishini belgilaydi.
Bitta paketni router orqali kuzatib boring
10.90.0.25 manzilidagi mijoz ochiq HTTPS xizmatini ochmoqda deb olaylik. Bu manzil tunnelga kirishi mijozning o'z siyosati qaroridir. Kirgach, router paketning shifrini ochadi va uni virtual interfeysga yetkazadi, u yerdan ochiq yuqori havolaga yo'naltiriladi.
O'sha virtual interfeys tarjimaning ichki tomoni. Ochiq yuqori havola tashqi tomon. Agar rollar teskari yoki yo'q bo'lsa, paket yo xususiy manba bilan chiqadi, yo tarjima qilinishidan oldin tashlab yuboriladi.
| Stage | Question to answer |
|---|---|
| VPN client | Does the client's policy put this destination inside the tunnel? |
| Decrypted ingress | Which virtual interface receives the inner packet? |
| Internet egress | Which route, access policy and source translation apply? |
| Reply | Is the client's flow translated back before it is delivered over the tunnel? |
Tarjima siyosatini mijozlar guruhiga moslang
NAT qoidasi mijozlar haqiqatda oladigan oraliqni ko'rsatishi kerak, yuqori havolani tasodifan bo'lishadigan ofis LAN emas. Faqat mahalliy subnetni qamrab olgan qoida, ikkalasi ham bir interfeys orqali chiqsa ham, masofaviy mijozlarni o'tkazib yuboradi.
ip access-list extended NAT-TUNNEL
permit ip 10.90.0.0 0.0.0.255 any
ip nat inside source list NAT-TUNNEL interface GigabitEthernet0/0/0 overloadXususiy saytlar istisnolarini alohida saqlang. Ichki manzillar tomon trafik asl manbasini saqlab qolishi kerak, aks holda manzil yetib bora olmaydigan manzilga javob beradi va qaytish qismi yo'naltirish halqasiga o'xshab muvaffaqiyatsiz bo'ladi.
Rollarni joylashtirilgan dizayndagi haqiqiy interfeyslarga qo'llang. Eski Easy VPN javobidan ko'chirilgan Virtual-Template bo'lagi to'liq joriy konfiguratsiya emas va ishlatilayotgan tunnel turi shifri ochilgan paketni qaysi interfeys qabul qilishini belgilaydi.
Tashqi transport va ichki tarjimani alohida tuting
Shifri ochilgan ilova manbasini tarjima qilish IKE yoki himoyalangan paketlarni yuqoridagi NAT qurilmasi orqali surish bilan bir xil amal emas. Birinchisi internet mijoz so'rovining manbasi sifatida nimani ko'rishini o'zgartiradi; ikkinchisi oraliq qurilma orqali tunnelni tirik saqlaydi.
Ularni aralashtirish ikkita klassik nosozlikni keltiradi. O'z tunnel transportini tarjima qiladigan router tengdosh munosabatini buzadi, ichki oqimni hech qachon tarjima qilmaydigan router esa xususiy manzillarni internetga uzatadi. Qoidani tahrirlashdan oldin qaysi oqimni ko'rayotganingizni o'qing va o'zgarishdan keyin tunnel tik turganini tekshiring. Ko'rishni tuzatib, tunnelni yiqitadigan qoida muammoni hal qilish o'rniga uni ko'chirgan.
Hech bir nosozlik ikkinchisini o'zgartirish bilan tuzatilmaydi. Qoidani tahrirlashdan oldin qaysi oqimni ko'rayotganingizni o'qing.
Ikkala chegarada tekshiring
Internet chegarasida ilova manbasini va qaytish qismida tiklangan manzilni o'qing. Birinchisi tarjima bo'lganini aytadi; ikkinchisi teskari xaritalash to'g'ri mijozga qaytganini aytadi.
Keyin tasdiqlangan bo'lingan tunnel yo'lidan foydalanadigan mijozni sinab ko'ring. Bu mijoz hech qachon ushbu routerning internet tarjimasini ishlatmaydi, shuning uchun u boshqacha yo'l tutishi kerak va farq trafik qaysi yo'ldan o'tganini tasdiqlaydi.
Ikkala mijoz ham bir xil yo'l tutsa, bo'lingan tunnel siyosati dizayn aytganini qilmayapti. Yana tarjima qoidalari qo'shishdan oldin buni tuzating, chunki ishlatilmayotgan yo'l uchun yozilgan qoida haqiqiy muammoni yashiradi.