ASA VPN hairpin: iki tuneli bir interfeysdən yönləndirmək

Uzaq istifadəçi ASA-ya qoşulur, filial arxasındakı bir host istəyir və ASA bu sorğunu istifadəçinin gəldiyi interfeysin özündən göndərir. Bunun üçün ikinci fiziki port tələb olunmur. Tələb olunan şey dörd müstəqil qərardır ki, insanlar onları bir yerə yığmağa meyllidirlər: hairpin etməyə icazə, düzgün ünvanları qoruyan tunel, vəd etdiyiniz mənbəni saxlayan NAT siyasəti və xidmətə icazə verən giriş siyasəti.

Bir paket, iki tunel

Axını izləyin və əməliyyatların sırası sirli olmaqdan çıxır. Paket uzaq giriş tunelinin içində gəlir, şifrəsi açılır və müştəri hovuzundan mənbələnən adi IP paketinə çevrilir. Sonra ASA onu marşrutlaşdırır, saytlararası crypto ACL ilə uyğunlaşdırır, yenidən şifrələyir və xaricə interfeysindən filiala doğru göndərir.

Aşağıdakı ünvanlar nümunəvidir, amma forma vacibdir: mənbə hovuzdur, ASA-nın daxili LAN-ı deyil.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Buradan iki şey çıxır. Müştəri filial prefiksi üçün marşrutu uzaq giriş bağlantısı vasitəsilə almalıdır, yəni split-tunnel və ya göndərilən marşrut siyahısı onu ehtiva etməlidir. Filial isə trafiki 10.77.0.20 ünvanına və ya NAT dizaynınızın əvəz etdiyi ünvana necə qaytaracağını bilməlidir.

Hairpin icazəsi qlobaldır

İnsanların əl atdığı əmr same-security-traffic permit intra-interface. Bu, trafikin eyni interfeysə daxil olub ondan çıxmasına imkan verir və bu yolun tam ehtiyacı budur. O, həm də qlobal bir ayardır: onu aktivləşdirmək eyni interfeysdən iki dəfə keçən digər axınların davranışını dəyişir.

Buna görə də bu, sazlama sessiyasına deyil, dəyişiklik qeydinə aiddir. Cihazda başqa nəyin artıq eyni interfeys yolunu tuta biləcəyini və bunun olub-olmamalı olduğunu soruşun. Qonaq şəbəkələri və ya üst-üstə düşən tərəfdaş tunelləri olan məşğul kənarda cavab avtomatik xeyr deyil. Səbəbi ayarın yanında yazın, çünki növbəti mühəndis əmri tapacaq, söhbəti yox.

Qoruma əhatəsi və NAT ayrıdır

Saytlararası tunel crypto ACL-nin seçdiyi hər şeyi qoruyur. Əgər həmin ACL mənbə kimi ASA-nın daxili alt şəbəkəsini göstərirsə, uzaq giriş hovuzu qorunmur və paket ya atılır, ya da platformanın uyğunsuz trafik davranışından asılı olaraq açıq şəkildə göndərilir. Dizayn hovuz ünvanlarını saxlayırsa, hovuzu qorunan axına əlavə edin.

Sonra NAT hovuz ünvanının qalıb-qalmadığına qərar verir. Identity NAT onu saxlayır və filial mənbə kimi 10.77.0.20 görür. Tərcümə müqaviləni dəyişir: filial artıq trafiki tərcümə olunmuş ünvana qaytarır və onun öz siyasəti bunu qəbul etməlidir. Qayda sırası crypto ACL-in tərcümədən əvvəl yoxsa sonra uyğunlaşdığını həll edir, ona görə hansının qalib gəldiyini fərz etmək əvəzinə effektiv axını oxuyun.

Bir tranzit halını işlətmək üçün ümumi internet PAT qaydalarını silməyin. Məqsədli istisna və ya qəsdən identity qaydası, giden siyasətdəki deşikdən daha asan izah edilir və geri qaytarılır.

Şifrələmə icazə deyil

İşləyən tunel yalnız iki tərəfin açarlar və selektorlar üzərində razılaşdığını sübut edir. Bu istifadəçinin həmin xidmətə çata biləcəyi barədə heç nə demir. Uzaq giriş bağlantısına bağlı VPN filtri və ya qrup siyasəti hələ də filial təyinatına və porta icazə verməlidir, xaricə yolda interfeys ACL-i də hələ də qüvvədədir.

Cavabı hər iki istiqamətdə sınayın. Qonşu xidmətin uğursuz olmalı olduğu halda uğur qazanan bağlantı bir uğurlu ping-dən daha çox məlumat verir, çünki siyasətin geniş açıq deyil, seçici olduğunu göstərir. Rədd edilməli test uğur qazanarsa, günahkar tunel deyil; siyasətdir. Hər iki nəticəni dəyişiklik qeydində saxlayın ki, növbəti şəxs hansı davranışın nəzərdə tutulduğunu bilsin.

Hairpin yoxsa ikinci interfeys

Hairpin tranziti dizaynı kiçik saxlayır və bir qlobal ayara başa gəlir. Ayrı interfeys və ya öz virtual interfeysi olan marşrut əsaslı tunel tranzit yolunu təcrid edir və sizə hər interfeys üzrə siyasət verir, bunun müqabilində ünvanlama və daha bir crypto map və ya profil tələb edir. Heç biri daha düzgün deyil; onlar fərqli şəkildə uğursuz olur.

Marşrut əsaslı dizaynlar fərqli bir quruluşdur, eyni konfiqurasiyada bir işarə qutusu deyil. Əgər onlardan birinə keçsəniz, yuxarıdakı siyasət əsaslı crypto ACL müzakirəsi tətbiq olunmağı dayandırır və seçim işini marşrut cədvəli görməyə başlayır.

Real müştəridən yoxlayın

ASA-dan başladılan sınaq fərqli mənbə ünvanına malikdir və hovuzdan filiala yolunu işlətməyəcək. Beşliyi yoxlamaq üçün packet-tracer istifadə edin, sonra faktiki uzaq müştəridən real bağlantı açın, çünki izləyici simulyasiya edir və müştərinin öz marşrutlaşdırmasını və siyasətini əvəz etmir.

Planlı dəyişiklikdən sonra işləməli olan bir xidmətə, sonra rədd edilməli olan birinə qoşulun və filialın qayıdış marşrutunu təsdiqləyin. Cisco VPN hairpin NAT nümunələri intra-interface icazəsini, NAT-ı və ACL-ləri görünən şəkildə ayrı saxlayır və kopyalamağa dəyər zehni model budur.