ASA VPN hairpin: llwybro dau dwnnel drwy un rhyngwyneb

Gall traffig defnyddiwr o bell adael yr un rhyngwyneb ASA y cyrhaeddodd arno, ond mae caniatâd hairpin, cwmpas y twnnel, NAT a'r ACLau yn bedwar penderfyniad ar wahân.

Mae defnyddiwr o bell yn cysylltu â'r ASA, yn gofyn am westeiwr y tu ôl i gangen, ac mae'r ASA yn anfon y cais hwnnw allan drwy'r union ryngwyneb y daeth y defnyddiwr i mewn arno. Nid oes angen ail borth corfforol ar gyfer hynny. Yr hyn y mae angen yw pedwar penderfyniad annibynnol y mae pobl yn tueddu i'w cydgrynhoi yn un: caniatâd i wneud hairpin, twnnel sy'n diogelu'r cyfeiriadau cywir, polisi NAT sy'n cadw'r ffynhonnell a addawsoch, a pholisi mynediad sy'n awdurdodi'r gwasanaeth.

Un pecyn, dau dwnnel

Dilynwch y llif ac mae trefn y gweithrediadau yn peidio â bod yn ddirgel. Mae'r pecyn yn cyrraedd y tu mewn i'r twnnel mynediad o bell, yn cael ei ddadsifftio ac yn dod yn becyn IP cyffredin o'r cronfa gleientiaid. Yna mae'r ASA yn ei lwybro, yn ei gyfateb â'r crypto ACL o safle i safle, yn ei amgryptio eto ac yn ei anfon allan drwy'r rhyngwyneb allanol tuag at y gangen.

Mae'r cyfeiriadau isod yn ddarluniol, ond mae'r siâp yn bwysig: y gronfa yw'r ffynhonnell, nid LAN fewnol yr ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Mae dau beth yn dilyn. Mae angen llwybr ar y cleient ar gyfer rhagddodiad y gangen drwy ei gysylltiad mynediad o bell, sy'n golygu bod rhaid i'r split-tunnel neu'r rhestr llwybrau a wthiwyd gynnwys hynny. Ac mae'n rhaid i'r gangen wybod sut i ddychwelyd traffig i 10.77.0.20 neu i ba bynnag gyfeiriad y gwnaeth eich dyluniad NAT ei ddisodli.

Mae caniatâd hairpin yn fyd-eang

Y gorchymyn y mae pobl yn ei gyrraedd amdano yw same-security-traffic permit intra-interface. Mae'n caniatáu i draffig ddod i mewn ac allan drwy'r un rhyngwyneb, sef yn union yr hyn y mae'r llwybr hwn ei angen. Mae hefyd yn osodiad byd-eang: mae ei alluogi yn newid ymddygiad llifau eraill sy'n digwydd croesi'r un rhyngwyneb ddwywaith.

Dyna pam mae'n perthyn i gofnod newid yn hytrach na sesiwn dadbudio. Gofynnwch beth arall ar y blwch a allai nawr gymryd llwybr yr un rhyngwyneb, ac a ddylai unrhyw ran ohono. Ar ymyl prysur â rhwydweithiau gwesteion neu dwneli partner sy'n gorgyffwrdd, nid yw'r ateb yn awtomatig yn na. Ysgrifennwch y rheswm wrth ymyl yr osodiad, oherwydd bydd y peiriannydd nesaf yn dod o hyd i'r gorchymyn ac nid i'r sgwrs.

Mae cwmpas diogelu a NAT ar wahân

Mae'r twnnel o safle i safle yn diogelu beth bynnag y mae ei crypto ACL yn ei ddewis. Os yw'r ACL hwnnw'n enwi isrwydwaith fewnol yr ASA fel ffynhonnell, nid yw cronfa mynediad o bell yn cael ei diogelu a bydd y pecyn naill ai'n cael ei ollwng neu'n cael ei anfon yn glir, yn dibynnu ar ymddygiad y platfform tuag at draffig heb ei gyfateb. Ychwanegwch y gronfa at y llif a ddiogelir pan fydd y dyluniad yn cadw cyfeiriadau'r gronfa.

Yna mae NAT yn penderfynu a yw cyfeiriad y gronfa yn goroesi. Mae Identity NAT yn ei gadw, ac mae'r gangen yn gweld 10.77.0.20 fel y ffynhonnell. Mae cyfieithu yn newid y contract: mae'r gangen nawr yn dychwelyd traffig i'r cyfeiriad cyfieithiedig, ac mae'n rhaid i'w pholisi ei hun dderbyn hynny. Mae trefn y rheolau yn penderfynu a yw'r crypto ACL yn cyfateb cyn neu ar ôl cyfieithu, felly darllenwch y llif effeithiol yn hytrach na chymryd yn ganiataol pa un sy'n ennill.

Peidiwch â dileu rheolau PAT rhyngrwyd cyffredinol i wneud un achos tramwy yn gweithio. Mae esemptiad wedi'i dargedu neu reol adnabyddiaeth fwriadol yn haws i'w hesbonio ac i'w gwrthdroi na thwll yn y polisi allanol.

Nid yw amgryptio yn awdurdodiad

Mae twnnel sy'n gweithio yn profi'n unig fod dau gydradd yn cytuno ar allweddi a dewisyddion. Nid yw'n dweud dim am a yw'r defnyddiwr hwn yn cael cyrraedd y gwasanaeth hwnnw. Mae'n rhaid i'r hidlydd VPN neu'r polisi grŵp sydd ynghlwm wrth y cysylltiad mynediad o bell ganiatáu cyrchfan a phorth y gangen o hyd, ac mae ACL y rhyngwyneb ar y llwybr allanol yn dal i fod yn berthnasol.

Profwch yr ateb yn y ddau gyfeiriad. Mae cysylltiad sy'n llwyddo tra dylai gwasanaeth cyfagos fethu yn fwy addysgiadol nag un ping llwyddiannus, oherwydd mae'n dangos bod y polisi yn ddetholus yn hytrach nag yn gwbl agored. Os yw'r prawf a ddylai gael ei wrthod yn llwyddo, nid y twnnel sydd ar fai; y polisi sydd. Cadwch y ddau ganlyniad yn y cofnod newid fel y bydd y person nesaf yn gwybod pa ymddygiad oedd yn fwriad.

Hairpin neu ail ryngwyneb

Mae tramwy hairpin yn cadw'r dyluniad yn fach ac yn costio un osodiad byd-eang. Mae rhyngwyneb ar wahân, neu dwnnel sy'n seiliedig ar lwybrau gyda'i ryngwyneb rhithwir ei hun, yn ynysu'r llwybr tramwy ac yn rhoi polisi fesul rhyngwyneb i chi, ar gost cyfeirio a chrypto map neu broffil arall. Nid yw'r naill yn fwy cywir na'r llall; maen nhw'n methu'n wahanol.

Mae dyluniadau sy'n seiliedig ar lwybrau yn drefniant gwahanol, nid blwch ticio ar yr un ffurfweddiad. Os symudwch i un, mae'r drafodaeth uchod am crypto ACL sy'n seiliedig ar bolisi yn peidio â bod yn berthnasol ac mae'r tabl llwybro yn dechrau gwneud y gwaith dethol.

Gwiriwch o'r cleient go iawn

Mae gan brofion a gychwynnir gan yr ASA gyfeiriad ffynhonnell gwahanol ac ni fydd yn arfer y llwybr o'r gronfa i'r gangen. Defnyddiwch packet-tracer i wirio'r pum-tupl, yna agorwch gysylltiad go iawn o'r cleient o bell gwirioneddol, oherwydd mae'r traciwr yn efelychu ac nid yw'n disodli llwybro a pholisi'r cleient ei hun.

Ar ôl newid a gynlluniwyd, cysylltwch â gwasanaeth a ddylai weithio, yna ag un a ddylai gael ei wrthod, yna cadarnhewch lwybr dychwelyd y gangen. Mae enghreifftiau Cisco o NAT hairpin ar gyfer VPN yn cadw caniatâd intra-interface, NAT ac ACLau ar wahân yn weladwy, a dyna'r model meddwl sy'n werth ei gopïo.

Erthyglau cysylltiedig