Split tunel ictimai hostu ASA NAT qaydalarından azad etmir

Split tunel adətən korporativ trafiki tunelin içində, internetin qalan hissəsini isə firewallun xaricində saxlamaq üsulu kimi təsvir olunur. Bu təsvirin hər iki yarısı eyni şəkildə səhvdir. Split tunel klientin verdiyi marşrut qərarıdır və marşrut qərarı paketin headend-ə çatdıqdan sonra nə olacağı barədə heç nə demir.

Ünvanınızı görməkdə israr edən ictimai ünvanda bir tərəfdaş xidməti bu hekayəni dağıtmaq üçün kifayətdir.

Mif: split tunel firewallu yoldan çıxarır

İnanc budur ki, özəl aralıqlardan kənarda olan hər hansı təyinat lokal internet bağlantısında qalır, ona görə firewall onu heç vaxt görmür və onun üçün heç vaxt qayda tələb etmir. Bu yalnız təyinat tunel siyahısında olmadıqda keçərlidir. Operator ictimai hostu split-include ACL-ə əlavə etdiyi anda klient bu trafiki tunelə göndərir və ASA onu hər hansı digər deşifrə olunmuş axın kimi marşrutlaşdırmalı, filtrləməli və tərcümə etməlidir. Klientdə təyinat siyahısından başqa heç nə dəyişməyib.

Klient routerə çevrilmədi. O, sizin verdiyiniz siyasətə əməl etdi.

Split-include marşrutu əslində nə edir

Cisco ASA uzaqdan giriş qurulumunda qrup siyasəti split-tunnel-policy tunnelspecified və standart ACL adlandıran split-tunnel-network-list daşıyır. Həmin ACL-dəki hər permit sətri klientin tunelə göndərməli olduğu təyinatdır, qalan hər şey isə lokal default marşrutdan istifadə etməyə davam edir.

Bir host əlavə etmək tək bir sətirdir və bu, dəyişikliyin klientin görə bildiyi yeganə hissəsidir: access-list RA-SPLIT standard permit host 203.0.113.20.

Sonra klienti yenidən qoşun. Siyasət qoşulma zamanı mübadilə olunur, ona görə mövcud sessiya köhnə siyahını saxlayır və dəyişikliyi heç nə etməmiş kimi göstərir.

Paket eyni interfeysdən girir və çıxır

İndi deşifrədən sonra axını izləyin. Paket VPN tuneli ilə xarici interfeysdən daxil olub, təyinatı ictimai ünvandır və marşrut cədvəli onu həmin xarici interfeysdən yenidən internetə doğru göndərir. Bir interfeysdən girib çıxan trafik, ASA-ya icazə verilmədikcə atılır; same-security-traffic permit intra-interface məhz bunu edir. Bunsuz bağlantı marşrut problemi kimi görünən, amma olmayan bir şəkildə uğursuz olur.

Bu parametr qlobaldır. O, hairpinning-i yalnız bu tərəfdaş host üçün deyil, ehtiyacı olan hər axın üçün icazə verir, ona görə sürətli testə deyil, nəzərdən keçirilmiş dəyişikliyə aid olmalıdır.

Niyə təyinatla məhdudlaşan PAT məcburidir

Deşifrə olunmuş paketin mənbə ünvanı hələ də klientin VPN ünvanıdır, adətən 10.77.0.0/24 kimi bir hovuzdan. Bu ünvanın ictimai internetdə marşrutu yoxdur, ona görə tərəfdaş ya heç cavab vermir, ya da heç bir yerə cavab verir.

Tərcümə mənbəni düzəldir və təyinatı toxunulmaz qoyur. Obyektlər artıq başqa yerdə təyin olunduğu üçün bu təyinatla məhdudlaşan əl qaydası belə görünür:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

destination static hissəsi vacibdir. Onu çıxarsanız, qayda nəzərdə tutulandan qat-qat çox trafikə uyğun gələ bilən geniş tərcüməyə çevrilir və sırada daha əvvəl duran geniş identity qaydası bunu tamamilə üstələyə bilər. Qaydanızın uyğun gələn olduğunu düşünməzdən əvvəl show nat detail və bölmə sırasını yoxlayın.

Interfeys PAT həm də o deməkdir ki, tərəfdaş ASA interfeys ünvanını görür və bu ünvan yuxarı axında yenidən tərcümə oluna bilər. Müqavilə ünvan göstərirsə, onu bir hopda deyil, başdan-başa təsdiqləyin.

Düzgün test təyinatı ilə sübut edin

Ümumi what-is-my-ip səhifəsini deyil, tərəfdaş hostun özünü istifadə edin. Həmin səhifə demək olar ki, split siyahısından kənardadır, ona görə lokal internet ünvanınızı göstərir və bu yol barədə heç nə demir. Tərəfdaş xidmətinə yeni bağlantı açın və onların hansı mənbəni gördüyünü soruşun və ya packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed işlədin və NAT ilə marşrut mərhələlərini sətir-sətir oxuyun. Klientdən traceroute daha zəif yoxlamadır, çünki artıq baş vermiş yolu göstərir, onu seçən siyasəti deyil.

Sonra nəyin dəyişməməli olduğunu yoxlayın. Adi vebsayt hələ də lokal bağlantıdan çıxmalı, tunel siyahısındakı özəl resurs isə hələ də əlçatan olmalıdır. Tərəfdaşı düzəldib bu ikisindən birini pozan dəyişiklik başqa bir xətadır.

Bu dizaynın işlək versiyası qısadır: split ACL-də bir host, hairpin icazəsi, bir təyinatla məhdud PAT qaydası. Hekayədəki qalan hər şey mifdir.