Identity NAT у ASA і выключэнне NAT у IOS для трафіку VPN

На шлюзах Cisco і identity NAT у ASA, і выключэнне класіфікатара NAT у IOS захоўваюць адрасы VPN. Правілы розныя ў тым, дзе прапускаецца трансляцыя.

Філіял трымае інтэрнэтны PAT і VPN паміж сайтамі на адным шлюзе Cisco, і VPN перастае працаваць, як толькі дадаецца NAT. Адрасы ўнутры тунеля ўжо не супадаюць з тым, што абараняе crypto ACL, або партнёр бачыць трансляваныя адрасы, маршруту да якіх у яго няма. Cisco вырашае гэта ў двух месцах: ASA выбірае правіла NAT, якое пераўтварае адрас у сам сябе, а IOS трымае паток па-за правілам трансляцыі праз забарону ў ACL. Абодва захоўваюць зыходныя адрасы, і ні адзін не абыходзіць апрацоўку NAT.

Спачатку запішыце паток, а потым выбірайце правіла

Пачніце з запісу патоку, які вы збіраецеся абараняць: зыходны адрас LAN, аддалены прызначаны адрас і дакладную пару адрасоў, якую абараняе палітыка IPsec. Зрабіце гэта да рэдагавання правіла, бо гэты набор паказвае, які класіфікатар або правіла NAT павінны былі супасці.

Затым знайдзіце правіла, якое фактычна супала, а не тое, якое вы мелі на ўвазе. На абодвух платформах NAT ацэньваецца ў пэўным парадку, і ранейшае правіла можа перамагчы да таго, як будзе разгледжана ваша выключэнне. Выключэнне, якое выглядае правільным, але прайграе іншаму правілу, ніколі не перадае патрэбны пакет палітыцы абароны. Сімптом такі ж, як пры адсутнасці выключэння, таму парадак правілаў трэба прачытаць да змены канфігурацыі.

Identity NAT у ASA — гэта правіла, а не абыход

У ASA identity NAT — гэта правіла NAT, у якім трансляваны адрас роўны зыходнаму. Яно выбіраецца як любое іншае правіла і ўсё роўна стварае запіс трансляцыі, таму пакет не прапускае апрацоўку NAT. Змяняецца тое, што адрасы ў сетцы застаюцца тымі ж, а менавіта гэта патрэбна палітыцы IPsec.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Інтэрфейсы правіла і яго параметр route-lookup павінны адпавядаць схеме перасылкі. Правіла, якое правільна пераўтварае адрас, але ўжыта да няправільнай пары інтэрфейсаў, не будзе выбрана для вашага патоку. Route-lookup вызначае, ці будзе трансляваны пакет маршрутызаваны, ці будзе ўжыты зыходны пункт прызначэння, і менавіта гэта вырашае, ці вернецца зваротны трафік праз тунель.

Кіраванне самім ASA — асобны выпадак. Калі вы ўжываеце identity NAT для трафіку кіравання, дзейнічае патрабаванне route-lookup, залежнае ад выпуску, і шырокае выключэнне, скапіяванае з прыкладу VPN, не выправіць SSH.

Забарона ў ACL NAT на IOS азначае тут не выбрана

На IOS інтэрнэтны NAT кіруецца спісам крыніц, і гэты ACL з'яўляецца класіфікатарам, а не фільтрам. Радок permit выбірае трафік для трансляцыі; радок забароны азначае, што пакет тут не выбраны. Гэтая забарона не з'яўляецца загадам адкінуць пакет, як забарона ў ACL інтэрфейса.

Тут не выбрана таксама вузей за нідзе не транслюецца. Іншае правіла NAT, іншы інтэрфейс або route-map могуць усё яшчэ трансляваць паток, таму трэба чытаць усю табліцу NAT. Пакету па-ранейшаму патрэбны маршрут, адпаведны crypto ACL і дазвол на фактычных межах кантролю доступу.

Мінімальная схема IOS ставіць забарону вышэй за permit у тым жа спісе і накіроўвае правіла overload на гэты спіс. Тады crypto ACL абараняе тую ж пару, якую забарона выключае з трансляцыі.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Адно пытанне, якое можна праверыць, для абедзвюх мадэляў

Абедзве мадэлі адказваюць на адно пытанне: якое правіла супала з гэтым патокам і якія адрасы пакінулі інтэрфейс? Зрабіце захоп на знешнім інтэрфейсе і параўнайце адрас крыніцы да і пасля шлюза. Затым праверце погляд партнёра на тунель, бо SA можа быць узнятым, пакуль абаронены паток транслюецца ў іншым месцы.

У ASA пакажыце nat detail і табліцу трансляцый; у IOS — ip nat translations і адпаведныя лічыльнікі ACL. Правіла, якое ніколі не расце, ніколі не выбіралася, і гэта паказвае на парадак, інтэрфейс або кірунак, а не на канфігурацыю crypto.

Дзе канфігурацыя звычайна ламаецца

Тыповыя збоі механічныя. Забарона стаіць ніжэй за permit і ніколі не супадае. Класіфікатар ужыты ў няправільным кірунку, таму зваротны паток транслюецца. Правіла identity ахоплівае правільныя адрасы, але няправільную пару інтэрфейсаў. Crypto ACL абараняе падсетку, якая ўжо не адпавядае таму, што прапануе правіла NAT.

Запішыце зыходную і прадстаўленую пару адрасоў побач з уладальнікам правіла, каб наступны інжынер бачыў, чаму класіфікатар забараняе трансляцыю, пакуль міжсеткавы экран дазваляе праграму. Трымайце гэта ў заяўцы на змену, а не ў асабістай нататцы. Затым паўтарыце паток пасля любой змены NAT, бо парадак правілаў — частка канфігурацыі, нават калі тэкст правіла не змяніўся. Тунель, які ўзняўся, не доказ таго, што адрасы захаваліся; толькі захоплены пакет і разгледжаны партнёрам пасля дэкапсуляцыі выгляд з'яўляюцца доказам.

Падобныя артыкулы