ASA VPN-haarspeld: twee tonnels deur een enkele koppelvlak lei

'n Afstandsgebruiker koppel aan die ASA, vra vir 'n gasheer agter 'n tak, en die ASA stuur daardie versoek uit op dieselfde koppelvlak waarop die gebruiker aangekom het. Niks daarvan vereis 'n tweede fisiese poort nie. Wat dit wel vereis, is vier onafhanklike besluite wat mense geneig is om in een saam te voeg: toestemming om 'n haarspeld te maak, 'n tonnel wat die regte adresse beskerm, 'n NAT-beleid wat die bron bewaar wat jy belowe het, en 'n toegangsbeleid wat die diens magtig.

Een pakket, twee tonnels

Volg die vloei en die volgorde van bewerkings hou op om geheimsinnig te wees. Die pakket kom binne die afstandstoegang-tonnel aan, word gedekripteer en word 'n gewone IP-pakket met die kliëntpoel as bron. Die ASA roeteer dit dan, pas dit teen die werf-tot-werf kripto-ACL, enkripteer dit weer en stuur dit uit die buite-koppelvlak na die tak.

Die adresse hieronder is illustratief, maar die vorm is belangrik: die bron is die poel, nie die ASA se interne LAN nie.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Twee dinge volg. Die kliënt het 'n roete vir die takvoorvoegsel nodig deur sy afstandstoegang-verbinding, wat beteken die split-tonnel of die gestuurde roetelys moet dit insluit. En die tak moet weet hoe om verkeer terug te stuur na 10.77.0.20 of na watter adres jou NAT-ontwerp ook al vervang het.

Haarspeldtoestemming is globaal

Die opdrag waarna mense gryp, is same-security-traffic permit intra-interface. Dit laat verkeer toe om dieselfde koppelvlak binne te gaan en te verlaat, wat presies is wat hierdie pad nodig het. Dit is ook 'n globale instelling: as jy dit aktiveer, verander die gedrag vir ander vloeie wat toevallig dieselfde koppelvlak twee keer kruis.

Daarom hoort dit in 'n veranderingsrekord eerder as in 'n ontspanningsessie. Vra wat anders op die toestel nou 'n selfde-koppelvlak-pad kan neem, en of enigiets daarvan dit behoort te doen. Op 'n besige rand met gasnetwerke of oorvleuelende vennoot-tonnels is die antwoord nie outomaties nee nie. Skryf die rede langs die instelling, want die volgende ingenieur sal die opdrag vind en nie die gesprek nie.

Beskermingsomvang en NAT is apart

Die werf-tot-werf tonnel beskerm wat sy kripto-ACL ook al kies. As daardie ACL die ASA se interne subnet as bron noem, word die afstandstoegang-poel nie beskerm nie en sal die pakket óf laat val óf in die oopte gestuur word, afhangend van die platform se gedrag vir verkeer wat nie pas nie. Voeg die poel by die beskermde vloei wanneer die ontwerp poeladresse bewaar.

NAT besluit dan of die poeladres oorleef. Identiteits-NAT hou dit, en die tak sien 10.77.0.20 as die bron. Vertaling verander die kontrak: die tak stuur nou verkeer terug na die vertaalde adres, en sy eie beleid moet dit aanvaar. Reëlorde bepaal of die kripto-ACL voor of na vertaling pas, so lees die effektiewe vloei eerder as om te aanvaar watter een wen.

Moenie die algemene internet-PAT-reëls verwyder om een deurvoergeval te laat werk nie. 'n Gerigte vrystelling of 'n doelbewuste identiteitsreël is makliker om te verduidelik en om terug te draai as 'n gat in die uitgaande beleid.

Enkripsie is nie magtiging nie

'n Tonnel wat werk, bewys net dat twee eweknieë oor sleutels en keurders saamstem. Dit sê niks oor of hierdie gebruiker daardie diens mag bereik nie. Die VPN-filter of groepbeleid wat aan die afstandstoegang-verbinding gekoppel is, moet steeds die takbestemming en die poort toelaat, en die koppelvlak-ACL op die buitepadj geld steeds.

Toets die antwoord in albei rigtings. 'n Verbinding wat slaag terwyl 'n naburige diens behoort te misluk, is meer insiggewend as een suksesvolle ping, want dit wys die beleid is selektief en nie wyd oop nie. As die geweierde toets slaag, is die tonnel nie die skuldige nie; die beleid is. Hou altwee resultate in die veranderingsrekord sodat die volgende persoon weet watter gedrag bedoel was.

Haarspeld of 'n tweede koppelvlak

Haarspeld-deurvoer hou die ontwerp klein en kos een globale instelling. 'n Aparte koppelvlak, of 'n roetegebaseerde tonnel met sy eie virtuele koppelvlak, isoleer die deurvoerpad en gee jou per-koppelvlak beleid, ten koste van adressering en nog 'n kripto-kaart of profiel. Nie een is meer korrek nie; hulle faal anders.

Roetegebaseerde ontwerpe is 'n ander rangskikking, nie 'n regmerkie op dieselfde konfigurasie nie. As jy na een oorskakel, hou die beleidsgebaseerde kripto-ACL-bespreking hierbo op om te geld en begin die roetetabel die keuringswerk doen.

Verifieer vanaf die werklike kliënt

'n ASA-geïnisieerde ondersoek het 'n ander bronadres en sal nie die poel-tot-tak-pad beoefen nie. Gebruik packet-tracer om die vyf-tupel na te gaan, en maak dan 'n werklike verbinding van die werklike afstandkliënt oop, want die naspoorder simuleer en vervang nie die kliënt se eie roetering en beleid nie.

Maak ná 'n beplande verandering verbinding met 'n diens wat behoort te werk, dan met een wat geweier behoort te word, en bevestig dan die tak se terugroete. Die Cisco se voorbeelde van VPN-haarspeld-NAT hou intra-koppelvlak-toestemming, NAT en ACL's sigbaar apart, wat die denkmodel is wat die moeite werd is om te kopieer.