ASA VPN hairpin: توجيه نفقين عبر واجهة واحدة

يتصل مستخدم بعيد بـ ASA ويطلب مضيفًا خلف فرع، فيرسل ASA ذلك الطلب عبر الواجهة نفسها التي وصل منها المستخدم. لا شيء في ذلك يستلزم منفذًا ماديًا ثانيًا. ما يستلزمه فعلًا هو أربعة قرارات مستقلة يميل الناس إلى دمجها في قرار واحد: إذن المرور على شكل hairpin، ونفق يحمي العناوين الصحيحة، وسياسة NAT تحافظ على المصدر الذي وعدت به، وسياسة وصول تجيز الخدمة.

حزمة واحدة، نفقان

تابع التدفق وستكف ترتيبات العمل عن كونها غامضة. تصل الحزمة داخل نفق الوصول البعيد، وتُفك تشفيرها، وتصبح حزمة IP عادية مصدرها تجمع العملاء. ثم يوجهها ASA ويطابقها مع crypto ACL الخاص بالربط بين الموقعين، ويعيد تشفيرها، ويرسلها من واجهة الخارج نحو الفرع.

العناوين أدناه توضيحية، لكن الشكل هو المهم: المصدر هو التجمع، لا شبكة LAN الداخلية لـ ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

يتفرع عن ذلك أمران. يحتاج العميل إلى مسار بادئة الفرع عبر اتصال الوصول البعيد، وهذا يعني أن split-tunnel أو قائمة المسارات المدفوعة يجب أن تتضمنه. ويجب أن يعرف الفرع كيف يعيد الحركة إلى 10.77.0.20 أو إلى أي عنوان استبدلته سياسة NAT لديك.

إذن hairpin إعداد عام

الأمر الذي يلجأ إليه الناس هو same-security-traffic permit intra-interface. يسمح للحركة بالدخول والخروج من الواجهة نفسها، وهو بالضبط ما يحتاجه هذا المسار. وهو أيضًا إعداد عام: تفعيله يغير السلوك في تدفقات أخرى تصادف أنها تعبر الواجهة نفسها مرتين.

لهذا ينتمي إلى سجل تغيير لا إلى جلسة تصحيح. اسأل ما الذي قد يسلك الآن مسار الواجهة نفسها على الجهاز، وهل ينبغي لأي منه ذلك. على حافة مزدحمة بشبكات ضيوف أو أنفاق شركاء متداخلة، الجواب ليس لا تلقائيًا. اكتب السبب بجانب الإعداد، لأن المهندس التالي سيجد الأمر ولن يجد المحادثة.

نطاق الحماية وNAT قراران منفصلان

يحق لنفق الربط بين الموقعين حماية ما يختاره crypto ACL الخاص به. إذا كان ذلك الـ ACL يسمي الشبكة الداخلية لـ ASA مصدرًا، فإن تجمع الوصول البعيد غير محمي، وستُسقط الحزمة أو تُرسل مكشوفة، حسب سلوك المنصة تجاه الحركة غير المطابقة. أضف التجمع إلى التدفق المحمي حين يحافظ التصميم على عناوين التجمع.

بعد ذلك يقرر NAT هل يبقى عنوان التجمع. يحافظ NAT المتطابق على العنوان، فيرى الفرع 10.77.0.20 مصدرًا. التراجم يغير العقد: يعيد الفرع الحركة الآن إلى العنوان المترجم، وعليه أن تقبل سياسته ذلك. ترتيب القواعد يحدد هل يطابق crypto ACL قبل الترجمة أم بعدها، فاقرأ التدفق الفعلي بدل أن تفترض أيهما يفوز.

لا تحذف قواعد PAT العامة للإنترنت كي يعمل مسار عبور واحد. الاستثناء المستهدف أو قاعدة مطابقة مقصودة أسهل في الشرح والتراجع من ثقب في سياسة الخروج.

التشفير ليس تصريحًا

النفق العامل يثبت فقط أن طرفين يتفقان على المفاتيح والمحددات. ولا يقول شيئًا عن أحقية هذا المستخدم في الوصول إلى تلك الخدمة. ما زال عليه عامل تصفية VPN أو سياسة المجموعة المرتبطة باتصال الوصول البعيد أن تسمح بوجهة الفرع والمنفذ، وما زال ACL الواجهة على مسار الخارج ساريًا.

اختبر الإجابة في الاتجاهين. اتصال ينجح بينما ينبغي لخدمة مجاورة أن تفشل أكثر إفادة من اختبار ping ناجح واحد، لأنه يبين أن السياسة انتخابية لا مفتوحة على مصراعيها. إذا نجح الاختبار الذي ينبغي رفضه، فالنفق ليس موضع اللوم؛ السياسة هي. احتفظ بالنتيجتين في سجل التغيير ليعرف الشخص التالي أي سلوك كان مقصودًا.

hairpin أم واجهة ثانية

العبور على شكل hairpin يبقي التصميم صغيرًا ويكلف إعدادًا عامًا واحدًا. الواجهة المنفصلة، أو نفق قائم على التوجيه بواجهة افتراضية خاصة، يعزل مسار العبور ويمنحك سياسة لكل واجهة، مقابل عنونة إضافية وخريطة تشفير أو ملف تعريف آخر. لا أحدهما أصح؛ إنهما يفشلان بطرق مختلفة.

التصاميم القائمة على التوجيه ترتيب مختلف، وليست مربع اختيار في التكوين نفسه. إذا انتقلت إلى أحدها، يتوقف انطباق حديث crypto ACL القائم على السياسة أعلاه ويبدأ جدول التوجيه بأداء عمل الانتخاب.

تحقق من العميل الحقيقي

المسبار الصادر من ASA له عنوان مصدر مختلف ولن يختبر مسار التجمع إلى الفرع. استخدم packet-tracer لفحص الخماسية، ثم افتح اتصالًا حقيقيًا من عميل الوصول البعيد الفعلي، لأن المتتبع يحاكي ولا يحل محل التوجيه والسياسة الخاصة بالعميل.

بعد تغيير مخطط، اتصل بخدمة ينبغي أن تعمل، ثم بأخرى ينبغي أن تُرفض، ثم تأكد من مسار العودة في الفرع. إن أمثلة NAT الخاصة بـ Cisco لـ VPN hairpin تبقي إذن intra-interface وNAT وقوائم ACL منفصلة على نحو مرئي، وهذا هو النموذج الذهني الجدير بالنسخ.