FortiGate lẹ́yìn NAT: local-gw, localid àti IP gbogbo ènìyàn

FortiGate tí ó wà lẹ́yìn NAT lè ní 10.0.0.2 lórí ìfarahàn WAN rẹ̀ nígbà tí íńtánẹ́ẹ̀tì ń fi í hàn gẹ́gẹ́ bí 198.51.100.40, àti pé àwọn nọ́mbà méjèèjì jẹ́ gidi. Àdírẹ́sì tí ẹ̀rọ náà so mọ́ àti ìdánimọ̀ tí ó ń rán nígbà ìjẹ́rìí IKE jẹ́ ìpinnu ọ̀tọ̀ọ̀tọ̀, tí a ṣe nínú àwọn pápá ọ̀tọ̀ọ̀tọ̀, fún àwọn olùgbọ́ ọ̀tọ̀ọ̀tọ̀. NAT ń tún àdírẹ́sì ìta kọ ní ọ̀nà; kò tún ìdánimọ̀ tí a jẹ́rìí kọ sí ohun tí peer jíjìn ń retí. Ọ̀pọ̀ àwọn ìkùnà ìpele 1 ní irú yìí ń wá láti fífi iye tí ó tọ́ sínú pápá tí kò tọ́.

Iye mẹ́ta, olówó mẹ́ta

Bẹ̀rẹ̀ pẹ̀lú dídárúkọ àwọn iye mẹ́ta àti ẹni tí ó ní ọ̀kọ̀ọ̀kan. local-gw ni àdírẹ́sì tí FortiGate ń lò gẹ́gẹ́ bí orísun fún IKE lórí ìfarahàn ìta rẹ̀, ó sì gbọ́dọ̀ jẹ́ àdírẹ́sì tí ẹ̀rọ náà ní ní ti gidi. Ibi ìparí gbogbo ènìyàn ni àdírẹ́sì ẹ̀rọ NAT, ó sì jẹ́ ti ẹni tí ó ń ṣe ìtúmọ̀. Ìdánimọ̀ IKE jẹ́ ìlà tí peer ń fi wé ìṣètò tirẹ̀, kò sì gbọ́dọ̀ jẹ́ àdírẹ́sì IP rárá.

Àwọn orúkọ pápá súnmọ́ tó láti pè ìpààrọ̀, ìdẹkùn sì ni yẹn. localid àti localid-type ń ṣàpèjúwe ìdánimọ̀; local-gw ń ṣàpèjúwe ìsopọ̀ ìbílẹ̀.

Àpẹẹrẹ kan mú ìyàtọ̀ náà di kedere. Lórí FortiGate, ṣí config vpn ipsec phase1-interface, lẹ́yìn náà set interface "wan1" àti set local-gw 10.0.0.2 — àdírẹ́sì tí àpótí náà ní, èyí sì ni ó ń jẹ́ kí socket IKE so pọ̀ ní àṣeyọrí. Fi local-gw sí 0.0.0.0 kí àdírẹ́sì ìfarahàn lè lò, èyí tí ó máa ń jẹ́ ohun kan náà ṣùgbọ́n tí kò ṣe kedere. Má ṣe fi local-gw sí 198.51.100.40, nítorí pé ẹ̀rọ náà kò ní àdírẹ́sì yẹn, socket kò sì ní so mọ́ ọn. Fífi iye méjì hàn bí ẹni pé wọ́n dọ́gba lórí ìwé kì í ṣe ìṣètò.

Ìgbésẹ̀ 1: yan ìdánimọ̀ tí peer yóò gbà

Nísinsìnyí ìdánimọ̀, èyí tí ó jẹ́ ìpinnu mìíràn. set localid ń gba iye tí peer yóò fi wé, set localid-type sì ń sọ fún FortiGate bí yóò ṣe túmọ̀ rẹ̀: àdírẹ́sì, FQDN, FQDN olùmúlò tàbí ID kọ́kọ́rọ́. Pẹ̀lú auto ẹ̀rọ náà ń yọ ọ́ jáde, ní ọ̀pọ̀ ìgbà láti àdírẹ́sì ìfarahàn tí ó ń jáde, èyí tí ó jẹ́ gbogbo iye tí ẹ̀rọ NAT ń fẹ́ yí padà.

Ìyọjáde yẹn ni ìdí tí ìdánimọ̀ kedere fi ṣe pàtàkì nínú ìtòlẹ́sẹẹsẹ yìí. Bí peer bá ń retí ìdánimọ̀ àdírẹ́sì, fi localid-type address àti localid sí àdírẹ́sì gbogbo ènìyàn tí peer yóò rí, lẹ́yìn náà jẹ́rìí pé peer gba iye yẹn gẹ́gẹ́ bí ìdánimọ̀ kì í ṣe gẹ́gẹ́ bí ibi ìdọ̀tí. Bí peer bá ń retí FQDN, lo localid-type fqdn àti orúkọ tí a fi ṣètò rẹ̀. Jẹ́rìí ohun tí a rán ní ti gidi pẹ̀lú diagnose vpn ike gateway list, èyí tí ó ń fi ipò ẹnubodè àti àwọn olùdánimọ̀ tí a ń lò hàn, kì í ṣe ohun tí o ní lọ́kàn láti tẹ. Má ṣe ro pé àṣàyàn irú ìdánimọ̀ ń gba àdírẹ́sì tí kì í ṣe ti ìbílẹ̀ lásán; kọ́kọ́ wo ìtumọ̀ tí a kọ sílẹ̀ ti ìtẹ̀jáde.

Ìgbésẹ̀ 2: rán UDP 500 àti 4500 sí ẹ̀rọ náà

Iye kẹta jẹ́ ti ẹ̀rọ NAT, ìyẹn sì ni ohun tí àwọn ènìyàn ń gbàgbé láti yẹ̀wò. Ibi ìparí gbogbo ènìyàn gbọ́dọ̀ rán UDP 500 àti UDP 4500 sí FortiGate, nítorí ìṣàwárí NAT-T àti ESP tí a kó mọ́ra tí ó ń tẹ̀le jáde méjèèjì sinmi lórí wíwá àwọn ibudo yẹn. Àpẹẹrẹ yìí gbà pé ìsopọ̀ ọ̀kan-sí-ọ̀kan ni ó wà; pínpín àdírẹ́sì gbogbo ènìyàn kan nípasẹ̀ àwọn ibudo láàrín àwọn peer púpọ̀ jẹ́ ìtòlẹ́sẹẹsẹ mìíràn pẹ̀lú àwọn ààlà mìíràn.

Jẹ́rìí ìránṣẹ́ pẹ̀lú gbígbà àti kì í ṣe pẹ̀lú ìrètí: diagnose sniffer packet any "udp port 500 or udp port 4500" 4 ń fi hàn bóyá àwọn pákẹ́ẹ̀tì ń wá àti bóyá àwọn ìdáhùn ń jáde.

Google Cloud VPN ń kọ sílẹ̀ NAT ọ̀kan-sí-ọ̀kan pẹ̀lú NAT-T gẹ́gẹ́ bí ètò tí a ń ṣètìlẹ́yìn fún peer lẹ́yìn NAT, ìyẹn sì ni ààlà tí ó yẹ kí a ṣe àpẹẹrẹ sí bí ìparí jíjìn bá jẹ́ ẹnubodè Cloud VPN. Pínpín ọ̀kan-sí-púpọ̀ tàbí nípasẹ̀ àwọn ibudo kì í ṣe ìtòlẹ́sẹẹsẹ kan náà tí a ń ṣètìlẹ́yìn, kò sì sí àtúnṣe ìdánimọ̀ ìbílẹ̀ tí yóò yí i padà. Bí ẹ̀gbẹ́ jíjìn bá jẹ́ ẹ̀rọ mìíràn, àwọn ìwé tirẹ̀ ń pààlà ohun tí yóò gbà gẹ́gẹ́ bí ìdánimọ̀ àti bóyá yóò faradà àdírẹ́sì peer tí a túmọ̀. Ka ìyẹn kí o tó yí pápá ìbílẹ̀ padà, nítorí ẹ̀gbẹ́ ìbílẹ̀ kò lè ṣe ìdúnàádúrà fún òfin tí ẹ̀gbẹ́ jíjìn kò fi sílò.

Ìgbésẹ̀ 3: yẹ̀wò ohun tí ìpele 1 kò yanjú

Ìrékọjá NAT ń gbé tunnel ró, ìfohùnṣọ̀kan ìdánimọ̀ ń pinnu bóyá peer yóò gbà á, ìtọ́nisọ́nà àkọ́kọ́ inú sì ń pinnu ohun tí ó ń kọjá ní ti gidi. ID ìbílẹ̀ tí ó tọ́ kò lè pèsè ọ̀nà àtẹ̀yìnwá tí ó ṣẹ́ kù tàbí olùyàn ìrìnàjò tí ó ṣẹ́ kù.

Nítorí náà yẹ̀wò ní ìpele-ìpele. get vpn ipsec tunnel details ń fi hàn bóyá tunnel wà lókè àti àwọn olùyàn wo ni a fohùnṣọ̀kan, àìbáramu láàrín subnet jíjìn tí a ṣètò àti olùyàn tí a fohùnṣọ̀kan jẹ́ ìṣòro ìtọ́nisọ́nà nínú aṣọ ìpele 2. execute vpn ike gateway clear ń fipá mú ìfohùnṣọ̀kan tuntun, nítorí náà ìwọ ń dán ìṣètò lọ́wọ́lọ́wọ́ wò kì í ṣe ìpàdé tí a dá sílẹ̀ kí ìyípadà tí ó kẹ́yìn rẹ tó wáyé. Lẹ́yìn náà rán ìrìnàjò sí agbàlejò nínú àkọ́kọ́ jíjìn kí o sì jẹ́rìí pé àwọn olùkà ń gbé, nítorí tunnel tí ó wà lókè tí kò sì ń gbé ohunkóhun kọjá dà bí ẹni tí ó ń ṣiṣẹ́ títí ìwọ yóò fi yẹ̀wò.

Tọ́jú àwọn iye mẹ́ta ní ibi kan nínú àwọn àkọsílẹ̀ rẹ: àdírẹ́sì ìbílẹ̀ tí ẹ̀rọ náà ní, ibi ìparí gbogbo ènìyàn tí ẹ̀rọ NAT ń gbé jáde, àti ìlà ìdánimọ̀ tí peer ń retí. Wọ́n ń yí padà fún àwọn ìdí ọ̀tọ̀ọ̀tọ̀ àti ní àwọn àkókò ọ̀tọ̀ọ̀tọ̀.

Àtúnṣe nọ́mbà ẹ̀rọ NAT kì í ṣe ìdí láti fi ọwọ́ kan local-gw ti FortiGate, ìyípadà ìdánimọ̀ kì í sì ṣe ìdí láti tún ohunkóhun nọ́mbà. Dídàpọ̀ méjèèjì ni bí a ṣe ń tún tunnel tí ó ń ṣiṣẹ́ kọ́ nígbà fèrèsé ìtọ́jú tí kò ní í ṣe pẹ̀lú rẹ̀. Ìtọ́sọ́nà NAT Cloud VPN ni ìtọ́kasí fún ìtòlẹ́sẹẹsẹ tí a ń ṣètìlẹ́yìn ní ẹ̀gbẹ́ yẹn.

Ìdánwò tí ó pinnu rẹ̀ kò lárinrin, ó sì yára: gbà lórí ìfarahàn ìta, jẹ́rìí pé UDP 500 àti 4500 ń wá láti ọ̀dọ̀ peer, jẹ́rìí pé ìdánimọ̀ nínú pàṣípààrọ̀ IKE bá ohun tí a ṣètò peer láti retí mu, lẹ́yìn náà jẹ́rìí pé àwọn olùyàn tí a fohùnṣọ̀kan bo àwọn subnet tí ó ṣe pàtàkì fún ọ. Bí àyẹ̀wò àkọ́kọ́ bá kùnà, ẹ̀rọ NAT ni a fẹ̀sùn kàn. Bí èkejì bá kùnà, àwọn pápá ìdánimọ̀ ni. Bí ẹ̀kẹta bá kùnà, NAT tàbí ìdánimọ̀ kò tíì jẹ́ ìṣòro rí.