NAT hunaniaeth ASA yn erbyn eithriad NAT IOS ar gyfer traffig VPN

Mae cangen yn cadw PAT rhyngrwyd a VPN safle-i-safle ar yr un cyfyngyfrif Cisco, ac mae'r VPN yn stopio gweithio'r funud ychwanegir NAT. Nid yw'r cyfeiriadau y tu mewn i'r twnnel yn cydweddu bellach â'r hyn mae'r crypto ACL yn ei warchod, neu mae'r cymar yn gweld cyfeiriadau wedi'u cyfieithu nad oes ganddo lwybr ar eu cyfer. Mae Cisco yn datrys hyn mewn dau le: mae'r ASA yn dewis rheol NAT sy'n mapio cyfeiriad iddo'i hun, tra mae IOS yn cadw'r llif allan o reol gyfieithu drwy deny mewn ACL. Mae'r ddau yn cadw'r cyfeiriadau gwreiddiol, ac nid yw'r naill na'r llall yn osgoi prosesu NAT.

Cofnodwch y llif cyn dewis rheol

Dechreuwch drwy ysgrifennu'r llif rydych yn disgwyl ei warchod: ffynhonnell y LAN lleol, y cyrchfan pell a'r union bâr cyfeiriad mae'r polisi IPsec yn ei warchod. Gwnewch hyn cyn golygu rheol, oherwydd mae'r tuple yn dangos pa ddosbarthydd neu reol NAT a ddylai fod wedi cyfateb.

Yna darganfyddwch y rheol a gyfatebodd mewn gwirionedd, nid yr un roeddech yn bwriadu ei chyfateb. Ar y ddwy blatfform mae NAT yn cael ei werthuso mewn trefn, a gall rheol gynharach ennill cyn i'ch eithriad gael ei hystyried. Nid yw eithriad sy'n edrych yn gywir ond sy'n colli i reol arall byth yn cyflwyno'r pecyn disgwyliedig i'r polisi gwarchod. Mae'r symptom yr un fath ag eithriad ar goll, felly rhaid darllen trefn y rheolau cyn newid y ffurfweddiad.

Mae NAT hunaniaeth ASA yn rheol, nid yn osgoi

Ar yr ASA, mae NAT hunaniaeth yn rheol NAT y mae ei chyfeiriad wedi'i gyfieithu yn hafal i'r gwreiddiol. Caiff ei dewis fel unrhyw reol arall ac mae'n dal i osod cofnod cyfieithu, felly nid yw'r pecyn yn hepgor prosesu NAT. Yr hyn sy'n newid yw bod y cyfeiriadau ar y wifren yn aros yr un fath, a dyna sydd ei angen ar y polisi IPsec.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Rhaid i ryngwynebau'r rheol a'i osodiad route-lookup gydweddu â'r dyluniad anfon. Ni fydd rheol sy'n mapio'r cyfeiriad yn gywir ond a gymhwysir i'r pâr ryngwyneb anghywir yn cael ei dewis ar gyfer eich llif. Mae route-lookup yn penderfynu a yw'r pecyn wedi'i gyfieithu yn cael ei lwybro neu a ddefnyddir y cyrchfan gwreiddiol, ac mae hynny'n penderfynu a yw traffig dychwelyd yn dod yn ôl drwy'r twnnel.

Mae mynediad rheoli i'r ASA ei hun yn achos ar wahân. Os defnyddiwch NAT hunaniaeth ar gyfer traffig rheoli, mae'r gofyniad route-lookup sy'n dibynnu ar y fersiwn yn berthnasol, ac ni fydd eithriad eang wedi'i chopïo o enghraifft VPN yn trwsio SSH.

Mae deny yn ACL NAT IOS yn golygu nad yw'n cael ei ddewis yma

Ar IOS, mae NAT rhyngrwyd yn cael ei yrru gan restr ffynhonnell, ac mae'r ACL honno'n ddosbarthydd, nid yn hidlydd. Mae llinell permit yn dewis traffig i'w gyfieithu; mae llinell deny yn golygu nad yw'r pecyn yn cael ei ddewis yma. Nid yw'r deny hwnnw'n orchymyn i ollwng y pecyn fel y mae deny mewn ACL rhyngwyneb.

Mae nad yw'n cael ei ddewis yma hefyd yn gulach na byth yn cael ei gyfieithu yn unman. Gall rheol NAT arall, rhyngwyneb arall neu route-map gyfieithu'r llif o hyd, felly rhaid darllen y tabl NAT cyfan. Mae'r pecyn hefyd angen llwybr, crypto ACL sy'n cyfateb iddo, a chaniatâd ar y ffiniau rheoli mynediad gwirioneddol.

Mae trefniant IOS lleiaf yn gosod y deny uwchben y permit yn yr un rhestr ac yn cyfeirio'r rheol overload at y rhestr honno. Yna mae'r crypto ACL yn gwarchod yr un pâr mae'r deny yn ei eithrio rhag cyfieithu.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Un cwestiwn y gellir ei brofi ar gyfer y ddau fodel

Mae'r ddau fodel yn ateb yr un cwestiwn: pa reol a gyfatebodd i'r llif hwn, a pha gyfeiriadau a adawodd y rhyngwyneb? Cipiwch ar y rhyngwyneb allanol a chymharwch y cyfeiriad ffynhonnell cyn ac ar ôl y cyfyngyfrif. Yna edrychwch ar safbwynt y cymar o'r twnnel, oherwydd gall yr SA fod i fyny tra mae'r llif gwarchodedig yn cael ei gyfieithu yn rhywle arall.

Ar yr ASA dangoswch nat detail a'r tabl cyfieithu; ar IOS dangoswch ip nat translations a chyfrifwyr ACL cyfatebol. Nid yw rheol nad yw byth yn cynyddu wedi'i dewis byth, ac mae hynny'n cyfeirio at drefn, rhyngwyneb neu gyfeiriad yn hytrach na'r ffurfweddiad crypto.

Lle mae'r ffurfweddiad fel arfer yn mynd o'i le

Mae'r methiannau cyffredin yn fecanyddol. Mae'r deny yn is na'r permit ac yn cyfateb byth. Mae'r dosbarthydd yn cael ei gymhwyso yn y cyfeiriad anghywir, felly mae'r llif dychwelyd yn cael ei gyfieithu. Mae'r rheol hunaniaeth yn gorchuddio'r cyfeiriadau cywir ond y pâr rhyngwyneb anghywir. Mae'r crypto ACL yn gwarchod isrwydwaith nad yw bellach yn cyfateb i'r hyn mae'r rheol NAT yn ei chyflwyno.

Cofnodwch y pâr cyfeiriad gwreiddiol a chyflwynedig wrth ymyl perchennog y rheol, fel y gall y peiriannydd nesaf weld pam mae dosbarthydd yn gwrthod cyfieithu tra mae'r mur gwarchod yn caniatáu'r cymhwysiad. Cadwch hyn yn y tocyn newid, nid mewn nodyn personol. Yna ailredegwch y llif ar ôl unrhyw newid NAT, oherwydd mae trefn y rheolau yn rhan o'r ffurfweddiad hyd yn oed pan nad yw testun y rheol wedi newid. Nid yw twnnel sy'n codi yn brawf bod y cyfeiriadau wedi goroesi; dim ond y pecyn a gipiwyd a golwg ddadgapsiwleiddio'r cymar yw'r prawf.