VPN trafiki üçün ASA identity NAT və IOS NAT istisnası

Cisco şlüzlərində həm ASA identity NAT, həm də IOS NAT təsnifatçısı istisnası VPN ünvanlarını saxlayır. Qaydalar tərcümənin harada atlandığına görə fərqlənir.

Bir filial internet PAT və saytlararası VPN-i eyni Cisco şlüzündə saxlayır və NAT əlavə edilən kimi VPN işləməyi dayandırır. Tunelin içindəki ünvanlar artıq crypto ACL-in qoruduğu ünvanlara uyğun gəlmir, ya da qarşı tərəf marşrutu olmayan tərcümə edilmiş ünvanlar görür. Cisco bunu iki yerdə həll edir: ASA ünvanı özünə uyğunlaşdıran NAT qaydası seçir, IOS isə ACL rəddi ilə axını tərcümə qaydasından kənarda saxlayır. Hər ikisi orijinal ünvanları saxlayır və heç biri NAT emalını yan keçmir.

Qayda seçməzdən əvvəl axını qeyd edin

Qorumaq istədiyiniz axını yazmaqla başlayın: yerli LAN mənbəyi, uzaq təyinat və IPsec siyasətinin qoruduğu dəqiq ünvan cütü. Bunu qaydanı redaktə etməzdən əvvəl edin, çünki bu dəst hansı təsnifatçının və ya NAT qaydasının uyğun gəlməli olduğunu göstərir.

Sonra nəzərdə tutduğunuz deyil, həqiqətən uyğun gələn qaydayı tapın. Hər iki platformada NAT müəyyən ardıcıllıqla qiymətləndirilir və istisnanıza baxılmadan əvvəl daha erkən qayda qazana bilər. Düzgün görünən, lakin başqa qaydaya uduzan istisna gözlənilən paketi heç vaxt qoruma siyasətinə çatdırmır. Simptom itkin istisna ilə eynidir, buna görə konfiqurasiyanı dəyişməzdən əvvəl qayda sırası oxunmalıdır.

ASA identity NAT yan keçid deyil, qaydadır

ASA-da identity NAT tərcümə edilmiş ünvanı orijinala bərabər olan NAT qaydasıdır. Hər hansı digər qayda kimi seçilir və yenə də tərcümə qeydi yaradır, yəni paket NAT emalını atlamır. Dəyişən odur ki, şəbəkədəki ünvanlar eyni qalır və IPsec siyasətinin ehtiyacı budur.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Qaydanın interfeysləri və route-lookup parametri yönləndirmə dizaynına uyğun olmalıdır. Ünvanı düzgün uyğunlaşdıran, lakin yanlış interfeys cütünə tətbiq olunan qayda sizin axınınız üçün seçilməyəcək. Route-lookup tərcümə edilmiş paketin yönləndirilməsini və ya orijinal təyinatın istifadəsini müəyyən edir və bu, geri trafikin tuneldən qayıdıb-qayıtmadığını həll edir.

ASA-nın özünə idarəetmə girişi ayrı haldır. İdarəetmə trafiki üçün identity NAT istifadə edirsinizsə, buraxılışdan asılı route-lookup tələbi tətbiq olunur və VPN nümunəsindən kopyalanmış geniş istisna SSH problemini həll etməyəcək.

IOS NAT ACL rəddi burada seçilməyib deməkdir

IOS-da internet NAT mənbə siyahısı ilə idarə olunur və həmin ACL filtr deyil, təsnifatçıdır. Permit sətri trafiki tərcümə üçün seçir; rədd sətri paketin burada seçilmədiyini bildirir. Bu rədd interfeys ACL-indəki rədd kimi paketi atmaq əmri deyil.

Burada seçilməyib həm də heç yerdə tərcümə olunmur ifadəsindən daha dardır. Başqa NAT qaydası, başqa interfeys və ya route-map axını yenə də tərcümə edə bilər, ona görə bütün NAT cədvəli oxunmalıdır. Paket həmçinin marşrut, uyğun crypto ACL və real giriş-nəzarət sərhədlərində icazə tələb edir.

Minimal IOS quruluşu rəddi eyni siyahıda permitdən yuxarı qoyur və overload qaydasını həmin siyahıya yönəldir. Sonra crypto ACL rəddin tərcümədən çıxardığı cütü qoruyur.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Hər iki model üçün bir yoxlanıla bilən sual

Hər iki model eyni suala cavab verir: bu axına hansı qayda uyğun gəldi və interfeysi hansı ünvanlar tərk etdi? Xarici interfeysdə tutun və mənbə ünvanını şlüzdən əvvəl və sonra müqayisə edin. Sonra qarşı tərəfin tunelə baxışını yoxlayın, çünki SA qalxıb durarkən qorunan axın başqa yerdə tərcümə oluna bilər.

ASA-da nat detail və tərcümə cədvəlini göstərin; IOS-da ip nat translations və uyğun ACL sayğaclarını göstərin. Heç vaxt artmayan qayda heç vaxt seçilməyib və bu, crypto konfiqurasiyasına deyil, sıraya, interfeysə və ya istiqamətə işarə edir.

Konfiqurasiya adətən harada səhv gedir

Adi nasazlıqlar mexanikidir. Rədd permitin altındadır və heç vaxt uyğun gəlmir. Təsnifatçı yanlış istiqamətdə tətbiq olunur, ona görə geri axın tərcümə edilir. Identity qaydası düzgün ünvanları, lakin yanlış interfeys cütünü əhatə edir. Crypto ACL artıq NAT qaydasının təqdim etdiyi alt şəbəkəyə uyğun gəlmir.

Orijinal və təqdim olunan ünvan cütünü qayda sahibinin yanında qeyd edin ki, növbəti mühəndis təsnifatçının niyə tərcüməni rədd etdiyini, firewall-un isə tətbiqə icazə verdiyini görsün. Bunu şəxsi qeyddə deyil, dəyişiklik bilektində saxlayın. Sonra hər hansı NAT dəyişikliyindən sonra axını yenidən işə salın, çünki qayda mətni dəyişməsə də qayda sırası konfiqurasiyanın hissəsidir. Qalxan tunel ünvanların qaldığına sübut deyil; yalnız tutulan paket və qarşı tərəfin dekapsulyasiyadan sonrakı görünüşü sübutdur.

Əlaqəli məqalələr