ASA VPN hairpin: маршрутызацыя двух тунэляў праз адзін інтэрфейс

Трафік аддаленага карыстальніка можа выходзіць з таго ж інтэрфейсу ASA, праз які ён прыйшоў, але дазвол hairpin, межы тунэлю, NAT і ACL — гэта чатыры асобныя рашэнні.

Аддалены карыстальнік падключаецца да ASA, запытвае хост за філіялам, і ASA адпраўляе гэты запыт праз той самы інтэрфейс, праз які прыйшоў карыстальнік. Для гэтага не патрэбны другі фізічны порт. Патрэбны чатыры незалежныя рашэнні, якія людзі звычайна зліваюць у адно: дазвол на hairpin, тунэль, які абараняе патрэбныя адрасы, палітыка NAT, якая захоўвае абяцаны вамі крыніцавы адрас, і палітыка доступу, якая дазваляе паслугу.

Адзін пакет, два тунэлі

Прасочыце паток, і парадак аперацый перастае быць загадкавым. Пакет прыходзіць унутры тунэлю аддаленага доступу, расшыфроўваецца і робіцца звычайным IP-пакетам з адрасам з пула кліентаў. Затым ASA маршрутызуе яго, супастаўляе з crypto ACL сайт-сайт, зноў шыфруе і адпраўляе праз знешні інтэрфейс да філіяла.

Адрасы ніжэй прыведзеныя для прыкладу, але форма мае значэнне: крыніца — гэта пул, а не ўнутраная LAN ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

З гэтага вынікаюць дзве рэчы. Кліенту патрэбны маршрут да прэфікса філіяла праз яго злучэнне аддаленага доступу, а значыць split-tunnel або спіс прымусовых маршрутаў павінен уключаць яго. А філіял павінен ведаць, як вяртаць трафік на 10.77.0.20 або на той адрас, які падставіў ваш дызайн NAT.

Дазвол hairpin дзейнічае глабальна

Каманда, да якой звычайна цягнуцца, — same-security-traffic permit intra-interface. Яна дазваляе трафіку ўваходзіць і выходзіць праз адзін і той жа інтэрфейс, што якраз і патрэбна гэтаму шляху. Гэта таксама глабальная ўстаноўка: яе ўключэнне змяняе паводзіны іншых патокаў, якія выпадкова двойчы праходзяць праз той самы інтэрфейс.

Вось чаму яна належыць да запісу аб зменах, а не да сеансу адладкі. Спытайцеся, што яшчэ на прыладзе можа цяпер пайсці па шляху праз той самы інтэрфейс і ці павінна. На загружаным краі з гасцявымі сеткамі або перасечанымі партнёрскімі тунэлямі адказ не аўтаматычна не. Запішыце прычыну побач з устаноўкай, бо наступны інжынер знойдзе каманду, а не размову.

Абсяг абароны і NAT — рэчы асобныя

Тунэль сайт-сайт абараняе тое, што выбірае яго crypto ACL. Калі гэты ACL называе ўнутраную падсетку ASA у якасці крыніцы, пул аддаленага доступу не абаронены, і пакет альбо будзе адкінуты, альбо адправіцца адкрыта, у залежнасці ад паводзінаў платформы з несупастаўленым трафікам. Дадайце пул у абаронены паток, калі дызайн захоўвае адрасы пула.

Затым NAT вырашае, ці захаваецца адрас пула. Identity NAT захоўвае яго, і філіял бачыць 10.77.0.20 як крыніцу. Трансляцыя змяняе дамову: філіял цяпер вяртае трафік на транслированный адрас, і яго ўласная палітыка павінна гэта прымаць. Парадак правілаў вызначае, ці супастаўляецца crypto ACL да трансляцыі або пасля яе, таму чытайце эфектыўны паток, а не мяркуйце, якое правіла пераможа.

Не выдаляйце агульныя правілы PAT для інтэрнэту, каб задзейнічаць адзін транзітны выпадак. Мэтазгоднае выключэнне або наўмыснае правіла identity прасцей патлумачыць і адмяніць, чым дзірку ў палітыцы зыходнага трафіку.

Шыфраванне — не аўтарызацыя

Працуючы тунэль даказвае толькі, што два бакі дамовіліся пра ключы і селектары. Ён нічога не кажа пра тое, ці можа гэты карыстальнік дасягнуць тую паслугу. Фільтр VPN або групавая палітыка, прывязаная да злучэння аддаленага доступу, па-ранейшаму павінна дазваляць прызначэнне філіяла і порт, а ACL інтэрфейсу на знешнім шляху ўсё яшчэ дзейнічае.

Праверце адказ у абодвух напрамках. Злучэнне, якое паспяхова, калі суседняя паслуга павінна адмовіць, інфарматыўнейшае за адзін удалы ping, бо паказвае, што палітыка выбіральная, а не цалкам адкрытая. Калі забаронены тэст праходзіць, вінаваты не тунэль, а палітыка. Захавайце абодва вынікі ў запісе аб зменах, каб наступны чалавек ведаў, якія паводзіны былі задуманыя.

Hairpin ці другі інтэрфейс

Транзіт праз hairpin захоўвае дызайн кампактным і каштуе адну глабальную ўстаноўку. Асобны інтэрфейс або маршрутны тунэль з уласным віртуальным інтэрфейсам ізалюе транзітны шлях і дае палітыку для кожнага інтэрфейсу, але патрабуе адрасацыі і яшчэ адной crypto map або профілю. Ні адзін не правільнейшы; яны адмаўляюць па-рознаму.

Маршрутныя дызайны — гэта іншая кампаноўка, а не сцяжок у той жа канфігурацыі. Калі вы пераходзіце на такі, размова пра crypto ACL на аснове палітык спыняе прымяняцца, і выбар пачынае рабіць табліца маршрутызацыі.

Правярайце з рэальнага кліента

Зонд, запушчаны з ASA, мае іншы адрас крыніцы і не задзейнічае шлях ад пула да філіяла. Карыстайцеся packet-tracer для праверкі пяцікорцевага набору, а затым адкрыйце сапраўднае злучэнне з фактычнага аддаленага кліента, бо трасіроўшчык мадэлюе і не замяняе ўласную маршрутызацыю і палітыку кліента.

Пасля планаванай змены падключыцеся да паслугі, якая павінна працаваць, потым да той, якая павінна быць адхілена, і пацвердзіце зваротны маршрут філіяла. прыклады Cisco для hairpin NAT у VPN трымаюць дазвол intra-interface, NAT і ACL бачна асобна, і гэта тая ментальная мадэль, якую варта капіраваць.

Падобныя артыкулы