Identity NAT na ASA u odnosu na izuzetak NAT-a na IOS-u za VPN saobraćaj

Na Cisco gateway-ima i identity NAT na ASA i izuzetak NAT klasifikatora na IOS-u čuvaju VPN adrese. Pravila se razlikuju po tome gdje se prevođenje preskače.

Ogranak drži internet PAT i site-to-site VPN na istom Cisco gateway-u, a VPN prestane raditi čim se doda NAT. Adrese unutar tunela više se ne poklapaju s onim što štiti crypto ACL, ili peer vidi prevedene adrese za koje nema rutu. Cisco to rješava na dva mjesta: ASA bira NAT pravilo koje adresu preslikava na nju samu, dok IOS drži tok izvan pravila prevođenja pomoću deny u ACL-u. Oba čuvaju originalne adrese i nijedno nije zaobilaženje NAT obrade.

Zabilježite tok prije nego odaberete pravilo

Počnite tako što ćete zapisati tok koji namjeravate štititi: izvornu LAN adresu, udaljenu destinaciju i tačan par adresa koji štiti IPsec politika. Uradite to prije nego uredite pravilo, jer taj skup pokazuje koji je klasifikator ili NAT pravilo trebalo da se poklopi.

Zatim pronađite pravilo koje se stvarno poklopilo, a ne ono koje ste namjeravali. Na obje platforme NAT se ocjenjuje po redu i ranije pravilo može pobijediti prije nego što se vaš izuzetak razmotri. Izuzetak koji izgleda ispravno ali izgubi od drugog pravila nikada ne preda očekivani paket politici zaštite. Simptom je isti kao kod nedostajućeg izuzetka, zato se red pravila mora pročitati prije promjene konfiguracije.

Identity NAT na ASA je pravilo, a ne zaobilaženje

Na ASA identity NAT je NAT pravilo čija je prevedena adresa jednaka originalnoj. Bira se kao i svako drugo pravilo i i dalje instalira zapis prevođenja, pa paket ne preskače NAT obradu. Mijenja se to da adrese na mreži ostaju iste, a upravo to IPsec politika treba.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Interfejsi pravila i njegova route-lookup postavka moraju odgovarati dizajnu prosljeđivanja. Pravilo koje adresu preslikava ispravno ali se primjenjuje na pogrešan par interfejsa neće biti odabrano za vaš tok. Route-lookup odlučuje hoće li prevedeni paket biti rutiran ili će se koristiti originalna destinacija, a to odlučuje vraća li se povratni saobraćaj kroz tunel.

Upravljački pristup samom ASA je poseban slučaj. Ako koristite identity NAT za upravljački saobraćaj, vrijedi zahtjev za route-lookup specifičan za verziju, a široki izuzetak kopiran iz VPN primjera neće popraviti SSH.

Deny u IOS NAT ACL-u znači nije odabrano ovdje

Na IOS-u internet NAT se vodi listom izvora, a taj ACL je klasifikator, a ne filter. Permit linija odabira saobraćaj za prevođenje; deny linija znači da paket ovdje nije odabran. Taj deny nije naredba da se paket odbaci kao deny u ACL-u interfejsa.

Nije odabrano ovdje uže je i od nigdje se ne prevodi. Drugo NAT pravilo, drugi interfejs ili route-map mogu ipak prevesti tok, pa se cijela NAT tabela mora pročitati. Paketu i dalje treba ruta, odgovarajući crypto ACL i dozvola na stvarnim granicama kontrole pristupa.

Minimalni IOS raspored stavlja deny iznad permita u istu listu i usmjerava overload pravilo na tu listu. Crypto ACL tada štiti isti par koji deny isključuje iz prevođenja.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Jedno provjerljivo pitanje za oba modela

Oba modela odgovaraju na isto pitanje: koje je pravilo poklopilo ovaj tok i koje su adrese napustile interfejs? Snimite na vanjskom interfejsu i uporedite izvornu adresu prije i poslije gateway-a. Zatim provjerite kako peer vidi tunel, jer SA može biti podignut dok se zaštićeni tok prevodi negdje drugdje.

Na ASA prikažite nat detail i tabelu prevođenja; na IOS-u ip nat translations i odgovarajuće ACL brojače. Pravilo koje nikada ne raste nikada nije odabrano, a to upućuje na red, interfejs ili smjer, a ne na crypto konfiguraciju.

Gdje konfiguracija obično pogriješi

Uobičajeni kvarovi su mehanički. Deny stoji ispod permita i nikada se ne poklopi. Klasifikator se primjenjuje u pogrešnom smjeru, pa se povratni tok prevodi. Identity pravilo pokriva ispravne adrese ali pogrešan par interfejsa. Crypto ACL štiti podmrežu koja se više ne poklapa s onim što NAT pravilo predstavlja.

Zapišite originalni i predstavljeni par adresa uz vlasnika pravila, da sljedeći inženjer vidi zašto klasifikator odbija prevođenje dok firewall dozvoljava aplikaciju. Držite to u tiketu za promjenu, ne u ličnoj bilješci. Zatim ponovo pustite tok nakon svake NAT promjene, jer je red pravila dio konfiguracije i kada je tekst pravila nepromijenjen. Tunel koji se podigne nije dokaz da su adrese preživjele; samo snimljeni paket i peer-ov pogled nakon dekapsulacije jesu.

Povezani članci