VPN ট্র্যাফিকের জন্য ASA identity NAT বনাম IOS NAT বর্জন

একটি শাখা একই Cisco গেটওয়েতে ইন্টারনেট PAT এবং সাইট-থেকে-সাইট VPN রাখে, আর NAT যোগ করার সঙ্গে সঙ্গে VPN কাজ করা বন্ধ করে দেয়। টানেলের ভিতরের ঠিকানাগুলো আর crypto ACL যা সুরক্ষা দেয় তার সঙ্গে মেলে না, অথবা সহকর্মী এমন অনূদিত ঠিকানা দেখে যার কোনো রুট তার নেই। Cisco এটি দুটি ভিন্ন জায়গায় সমাধান করে: ASA এমন NAT নিয়ম বেছে নেয় যা ঠিকানাকে নিজের সঙ্গে মেলায়, আর IOS একটি ACL deny দিয়ে ফ্লো-কে অনুবাদ নিয়মের বাইরে রাখে। দুটোই মূল ঠিকানা সংরক্ষণ করে, এবং কোনোটিই NAT প্রক্রিয়াকরণ বাইপাস নয়।

নিয়ম বাছার আগে ফ্লো লিখে রাখুন

আপনি যে ফ্লো সুরক্ষিত করতে চান তা লিখে শুরু করুন: স্থানীয় LAN উৎস, দূরবর্তী গন্তব্য এবং IPsec নীতি যে সঠিক ঠিকানা জোড়া সুরক্ষা করে। নিয়ম সম্পাদনার আগেই এটি করুন, কারণ এই সমষ্টিই বলে দেয় কোন ক্লাসিফায়ার বা NAT নিয়ম মেলা উচিত ছিল।

তারপর আপনি যে নিয়ম মেলাতে চেয়েছিলেন তা নয়, বরং সত্যিই যে নিয়ম মিলেছে তা খুঁজুন। দুই প্ল্যাটফর্মেই NAT একটি নির্দিষ্ট ক্রমে মূল্যায়িত হয়, এবং আপনার ব্যতিক্রম দেখার আগেই আগের কোনো নিয়ম জিতে যেতে পারে। সঠিক দেখতে হওয়া ব্যতিক্রম যদি অন্য নিয়মের কাছে হারে, তবে প্রত্যাশিত প্যাকেট কখনো সুরক্ষা নীতিতে পৌঁছায় না। উপসর্গ ঠিক অনুপস্থিত ব্যতিক্রমের মতো, তাই কনফিগারেশন বদলানোর আগে নিয়মের ক্রম পড়তে হবে।

ASA identity NAT একটি নিয়ম, বাইপাস নয়

ASA-তে identity NAT হলো এমন NAT নিয়ম যার অনূদিত ঠিকানা মূল ঠিকানার সমান। এটি অন্য যেকোনো নিয়মের মতোই নির্বাচিত হয় এবং তবুও একটি অনুবাদ এন্ট্রি তৈরি করে, তাই প্যাকেট NAT প্রক্রিয়াকরণ এড়ায় না। যা বদলায় তা হলো নেটওয়ার্কে ঠিকানাগুলো একই থাকে, আর IPsec নীতির প্রয়োজন ঠিক সেটাই।

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

নিয়মের ইন্টারফেস এবং এর route-lookup সেটিং ফরওয়ার্ডিং নকশার সঙ্গে মিলতে হবে। যে নিয়ম ঠিকানা সঠিকভাবে অনুবাদ করে কিন্তু ভুল ইন্টারফেস জোড়ায় প্রয়োগ করা হয়, সেটি আপনার ফ্লোর জন্য নির্বাচিত হবে না। Route-lookup নির্ধারণ করে অনূদিত প্যাকেট রাউট হবে না মূল গন্তব্য ব্যবহৃত হবে, এবং সেটিই ঠিক করে প্রত্যাবর্তন ট্র্যাফিক টানেল দিয়ে ফিরবে কি না।

ASA নিজেই ব্যবস্থাপনা অ্যাক্সেস একটি আলাদা বিষয়। ব্যবস্থাপনা ট্র্যাফিকের জন্য identity NAT ব্যবহার করলে রিলিজ-নির্দিষ্ট route-lookup শর্ত প্রযোজ্য, এবং VPN উদাহরণ থেকে কপি করা প্রশস্ত বর্জন SSH ঠিক করবে না।

IOS NAT ACL deny মানে এখানে নির্বাচিত নয়

IOS-এ ইন্টারনেট NAT একটি সোর্স তালিকা দিয়ে চালিত হয়, এবং সেই ACL ফিল্টার নয়, ক্লাসিফায়ার। একটি permit লাইন অনুবাদের জন্য ট্র্যাফিক বেছে নেয়; deny লাইন মানে প্যাকেট এখানে নির্বাচিত নয়। সেই deny ইন্টারফেস ACL-এর deny-এর মতো প্যাকেট ফেলে দেওয়ার নির্দেশ নয়।

এখানে নির্বাচিত নয় হলো কোথাও অনূদিত নয়-এর চেয়েও সংকীর্ণ। অন্য NAT নিয়ম, অন্য ইন্টারফেস বা route-map এখনো ফ্লো অনুবাদ করতে পারে, তাই পুরো NAT টেবিল পড়তে হবে। প্যাকেটের এখনো একটি রুট, মিলে যাওয়া crypto ACL এবং প্রকৃত অ্যাক্সেস-কন্ট্রোল সীমানায় অনুমতি দরকার।

একটি ন্যূনতম IOS ব্যবস্থায় deny একই তালিকায় permit-এর উপরে থাকে এবং overload নিয়মকে সেই তালিকার দিকে নির্দেশ করে। তখন crypto ACL ঠিক সেই জোড়াকে সুরক্ষা দেয় যা deny অনুবাদ থেকে বাদ দেয়।

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

দুই মডেলের জন্য একটি পরীক্ষণযোগ্য প্রশ্ন

দুই মডেলই একই প্রশ্নের উত্তর দেয়: কোন নিয়ম এই ফ্লোতে মিলেছিল এবং কোন ঠিকানাগুলো ইন্টারফেস ছেড়েছে? বাইরের ইন্টারফেসে ক্যাপচার করুন এবং গেটওয়ের আগে ও পরে সোর্স ঠিকানা তুলনা করুন। তারপর টানেল সম্পর্কে সহকর্মীর দৃষ্টিভঙ্গি দেখুন, কারণ SA চালু থাকতে পারে অথচ সুরক্ষিত ফ্লো অন্য জায়গায় অনূদিত হচ্ছে।

ASA-তে nat detail এবং অনুবাদ টেবিল দেখান; IOS-এ ip nat translations এবং সংশ্লিষ্ট ACL কাউন্টার দেখান। যে নিয়ম কখনো বাড়ে না সেটি কখনো নির্বাচিত হয়নি, আর এটি crypto কনফিগারেশন নয়, বরং ক্রম, ইন্টারফেস বা দিকের দিকে ইঙ্গিত করে।

কনফিগারেশন সাধারণত কোথায় ভুল হয়

সাধারণ ব্যর্থতাগুলো যান্ত্রিক। deny permit-এর নিচে থাকে এবং কখনো মেলে না। ক্লাসিফায়ার ভুল দিকে প্রয়োগ হয়, তাই ফেরত ফ্লো অনূদিত হয়। identity নিয়ম সঠিক ঠিকানা কিন্তু ভুল ইন্টারফেস জোড়া ঢাকে। crypto ACL এমন সাবনেট সুরক্ষা করে যা আর NAT নিয়মের উপস্থাপনের সঙ্গে মেলে না।

মূল এবং উপস্থাপিত ঠিকানা জোড়া নিয়মের মালিকের পাশে লিখে রাখুন, যাতে পরবর্তী প্রকৌশলী দেখতে পারেন কেন ক্লাসিফায়ার অনুবাদ বর্জন করে অথচ ফায়ারওয়াল অ্যাপ্লিকেশনকে অনুমতি দেয়। এটি ব্যক্তিগত নোটে নয়, পরিবর্তন টিকিটে রাখুন। তারপর যেকোনো NAT পরিবর্তনের পরে ফ্লো আবার চালান, কারণ নিয়মের পাঠ্য অপরিবর্তিত থাকলেও নিয়মের ক্রম কনফিগারেশনের অংশ। টানেল উঠে আসা প্রমাণ নয় যে ঠিকানাগুলো টিকে আছে; কেবল ধৃত প্যাকেট এবং সহকর্মীর ডিক্যাপসুলেশনের পরের দৃষ্টিভঙ্গিই প্রমাণ।