ASA hairpin: allanfa i’r rhyngrwyd neu goes VPN safle-i-safle?

Gall dau ddefnyddiwr mynediad o bell y tu ôl i’r un ASA anfon traffig allan o’r un rhyngwyneb allanol a chael triniaeth hollol wahanol. Mae un yn mynd i wefan gyhoeddus, felly mae angen cyfieithu ffynhonnell a llwybr rhyngrwyd ar y pecyn. Mae’r llall yn mynd i weinydd y tu ôl i dwnnel safle-i-safle sy’n gorffen ar yr un rhyngwyneb hefyd, felly mae angen hunaniaeth, detholwr twnnel sy’n cyfateb a llwybr dychwelyd i’r pwll cleientiaid ar y pecyn. Mae caniatâd ar gyfer yr un rhyngwyneb yn rhagofyniad i’r ddau ac yn ateb i’r naill na’r llall.

Dwy goes, un rhyngwyneb

Penderfynwch pa goes rydych chi’n ei hadeiladu cyn teipio rheol NAT, oherwydd nid yw’r rheolau’n gyfnewidiol. Coes A yw cleient i’r rhyngrwyd: cyfeiriad y pwll i mewn, cyfeiriad cyhoeddus wedi’i gyfieithu allan, yn ôl drwy’r un rhyngwyneb. Coes B yw cleient i ragddodiad preifat ar ochr bellaf cymar IPsec arall: cedwir cyfeiriad y pwll, ailgryptir ef, a’i ddanfon i gymar sy’n gwybod sut i ateb y pwll.

Yr hyn sydd ei angen ar y ddau yn gyntaf yw’r caniatâd ar gyfer yr un rhyngwyneb. Heb hynny mae’r ASA yn gwrthod anfon pecyn allan o’r rhyngwyneb y cyrhaeddodd arno, ac mae’r methiant yn edrych fel problem llwybro yn hytrach na phroblem polisi:

same-security-traffic permit intra-interface

Mae’r un llinell honno’n awdurdodi trefniant anfon, fel y mae’r cyfeirlyfr NAT ASA yn ei ddisgrifio ar gyfer llwybrau’r un rhyngwyneb. Nid yw’n ychwanegu llwybr cleient, nid yw’n awdurdodi adnodd, nid yw’n cyfieithu cyfeiriad nac yn trafod detholwr IPsec, felly disgwyliwch ychwanegu tair neu bedair peth arall ar ei ôl a pheidiwch â darllen ei dderbyniad fel cynnydd.

Coes A: mae’r cleient eisiau’r rhyngrwyd

Ar gyfer allanfa i’r rhyngrwyd rhaid i gyfeiriad y pwll roi’r gorau i fod yn breifat cyn i’r pecyn adael y ddyfais. Mewn dyluniad PAT cyffredin mae’r rheol yn cyfieithu’r pwll i gyfeiriad y rhyngwyneb allanol, ac mae’r cyflwr dychwelyd yn adfer y llif tuag at y cleient:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Yna cadarnhewch fod y cleient wedi gofyn i’r ASA gludo’r traffig hwnnw. Mae eithriad twnnel hollt yn anfon y cyrchfan cyhoeddus dros gysylltiad y ffôn ei hun, nad yw byth yn cyrraedd yr ASA, ac nid oes unrhyw reol NAT yn trwsio pecyn na chafodd ei anfon erioed. Cymharwch restr twnnel hollt y polisi grŵp â’r gyrchfan rydych chi’n ei phrofi.

Mae gweddill y goes yn gyffredin: llwybr diofyn neu benodol y gellir ei ddefnyddio allan o’r rhyngwyneb allanol, polisi mynediad sy’n caniatáu’r llif, a DNS yn cael ei drin yn ôl y polisi datryswr a ddewisoch. Ychwanegwch route-lookup yma am yr un rheswm ag isod, gan fod y rhyngwyneb mynediad a’r rhyngwyneb allanfa yn union yr un fath.

Coes B: mae’r cleient eisiau safle preifat

Mae’r goes hon yn methu mewn mwy o leoedd, felly ysgrifennwch hi mewn trefn. Yn gyntaf llwybr y cleient: rhaid i ragddodiad y gyrchfan fod yn y rhestr twnnel hollt, neu ni fydd y cleient yn ei roi yn y twnnel. Yn ail detholwr y twnnel: rhaid i’r ACL cryptograffig safle-i-safle gynnwys cyfeiriad y pwll i’r rhagddodiad pell, nid y LAN lleol i’r rhagddodiad pell yn unig. Yn drydydd hunaniaeth, fel nad yw cyfeiriad y pwll yn cael ei gyfieithu i PAT y rhyngrwyd ar y ffordd heibio.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Yr ochr bell yw’r rhan y mae pobl yn anghofio ei phrofi. Mae ar y cymar angen llwybr yn ôl i’r pwll a detholwr sy’n ei gynnwys, a rhaid i’w bolisi ei hun ganiatáu’r cyfeiriadau ffynhonnell y bydd yn eu gweld. Os defnyddir y safle drwy olwg wedi’i chyfieithu yn lle hynny, mae hwnnw’n ddyluniad dilys, ond yna rhaid i’r ddau gymar, y ddau ddetholwr a’r ddwy dabl llwybro gytuno ar y cyfeiriadau wedi’u cyfieithu.

Gwiriwch drefn y rheolau hefyd. Bydd rheol PAT eang uwchben y rheol hunaniaeth yn cyfieithu’r cyfnewid preifat cyn i’r rheol hunaniaeth gael ei gwerthuso o gwbl, a’r symptom yw twnnel safle heb SA cyfatebol yn hytrach na gwall NAT.

Y prawf sy’n dweud wrthych pa goes a adeiladwyd gennych

Defnyddiwch werthusiad llwybr yr ASA ei hun yn hytrach na darllen y ffurfweddiad a gobeithio. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed yn dangos y penderfyniad NAT, y llwybr a chanlyniad yr ACL ar gyfer un llif; ailadroddwch gyda chyrchfan breifat. Os yw’r cyfnod NAT yn ailysgrifennu llif preifat-i-breifat, gwnaethoch adeiladu coes A ar gyfer pecyn oedd angen coes B.

Mae dau orchymyn arall yn cau’r bwlch. show nat detail yn argraffu trefn y rheolau y dilynodd packet-tracer, a show crypto ipsec sa yn dangos a oes detholwr yn bodoli ar gyfer y pâr rydych chi’n ei ddisgwyl. Mae SA ar goll yn fater ffurfweddu detholwr neu gymar, nid rhywbeth y gall y rheol NAT ei drwsio.

Gwiriwch bob coes gyda’r traffig y mae’n ei wasanaethu

Derbyniwch goes A gyda chais cyhoeddus cyffredin gan y cleient, a derbyn coes B gyda chais i adnodd preifat sy’n bodoli go iawn. Yna ailadroddwch bob un gydag adnodd a wrthodwyd, oherwydd nid yw “caniatäwyd” a “chaniatawyd gan y polisi mynediad” yr un dystiolaeth, ac nid yw ping sy’n deillio o’r canolbwynt yn arfer y naill lwybr cleient na’r llall.

Cadwch y ddau gofnod prawf ar wahân yn y tocyn: cyfeiriad ffynhonnell, cyrchfan, y rheol NAT a gyfatebodd, a’r canlyniad. Pan fydd yr adroddiad nesaf yn dweud “mae’r VPN wedi torri”, mae’r pâr hwnnw’n dweud wrthych o fewn munud pa goes sydd wedi dirywio, a’r ateb fel arfer yw llwybr neu ddetholwr yn hytrach na’r llinell un-rhyngwyneb y mae pawb yn ei hamau gyntaf.