Nid yw twndl hollt yn eithrio gwesteiwr cyhoeddus rhag rheolau NAT yr ASA

Disgrifir twndlu hollt fel arfer fel ffordd o gadw traffig corfforaethol y tu mewn i’r twndl a gweddill y rhyngrwyd y tu allan i’r mur gwarchod. Mae dau hanner y disgrifiad hwnnw’n anghywir yn yr un ffordd. Penderfyniad llwybr a wneir gan y cleient yw twndlu hollt, ac nid yw penderfyniad llwybr yn dweud dim am yr hyn sy’n digwydd i’r pecyn ar ôl iddo gyrraedd y headend.

Mae un gwasanaeth partner ar gyfeiriad cyhoeddus, sy’n mynnu gweld cyfeiriad eich pencadlys, yn ddigon i dorri’r stori.

Y myth: mae twndl hollt yn tynnu’r mur gwarchod allan o’r llwybr

Y gred yw bod unrhyw gyrchfan y tu allan i’r ystodau preifat yn aros ar y cysylltiad rhyngrwyd lleol, felly nid yw’r mur gwarchod byth yn ei gweld ac nid oes angen rheol ar ei chyfer. Dim ond tra nad yw’r gyrchfan yn y rhestr twndl y mae hynny’n dal. Yr eiliad y bydd gweithredwr yn ychwanegu gwesteiwr cyhoeddus at yr ACL split-include, mae’r cleient yn anfon y traffig hwnnw i’r twndl, ac mae’n rhaid i’r ASA ei lwybro, ei hidlo a’i gyfieithu fel unrhyw lif dadgryptiedig arall. Ni newidiodd dim ar y cleient heblaw’r rhestr gyrchfan.

Ni ddaeth y cleient yn llwybrydd. Dilynodd y polisi a roesoch iddo.

Beth mae llwybr split-include yn ei wneud mewn gwirionedd

Mewn sefydliad mynediad o bell Cisco ASA, mae’r polisi grŵp yn cario split-tunnel-policy tunnelspecified ac split-tunnel-network-list sy’n enwi ACL safonol. Mae pob llinell permit yn yr ACL hwnnw’n gyrchfan y dylai’r cleient ei hanfon i’r twndl, ac mae popeth arall yn parhau i ddefnyddio’r llwybr diofyn lleol.

Mae ychwanegu un gwesteiwr yn un llinell, a hwnnw yw’r unig ran o’r newid y gall y cleient ei gweld: access-list RA-SPLIT standard permit host 203.0.113.20.

Ailgysylltwch y cleient wedyn. Cyfnewidir y polisi ar amser cysylltu, felly mae sesiwn sefydledig yn cadw’r hen restr ac yn gwneud i’r newid edrych fel pe na bai wedi gwneud dim.

Mae’r pecyn yn cyrraedd ac yn gadael ar yr un rhyngwyneb

Nawr olrheiniwch y llif ar ôl dadgryptio. Daeth y pecyn i mewn ar y rhyngwyneb allanol drwy’r twndl VPN, ei gyrchfan yw cyfeiriad cyhoeddus, ac mae’r tabl llwybro yn ei anfon yn ôl allan drwy’r un rhyngwyneb allanol tuag at y rhyngrwyd. Mae traffig sy’n dod i mewn ac yn gadael un rhyngwyneb yn cael ei ollwng oni bai bod yr ASA’n cael ei ganiatáu i wneud hynny, a dyna mae same-security-traffic permit intra-interface yn ei wneud. Heb hynny mae’r cysylltiad yn methu mewn ffordd sy’n edrych fel problem llwybro ac nad yw.

Mae’r gosodiad hwnnw’n fyd-eang. Mae’n caniatáu hairpinio ar gyfer pob llif sydd ei angen, nid yn unig ar gyfer y gwesteiwr partner hwn, felly mae’n perthyn i newid sydd wedi’i adolygu yn hytrach nag i brawf cyflym.

Pam nad yw PAT a gwmpesir gan gyrchfan yn ddewisol

Mae cyfeiriad ffynhonnell y pecyn dadgryptiedig yn dal i fod yn gyfeiriad VPN y cleient, fel arfer o bwll fel 10.77.0.0/24. Nid oes gan y cyfeiriad hwnnw lwybr ar y rhyngrwyd cyhoeddus, felly mae’r partner naill ai’n methu ag ateb byth neu’n ateb i unman.

Mae cyfieithu yn cywiro’r ffynhonnell ac yn gadael y gyrchfan heb ei chyffwrdd. Gan fod y gwrthrychau eisoes wedi’u diffinio yn rhywle arall, mae rheol law â chwmpas ar y gyrchfan hon yn edrych fel hyn:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

Mae’r rhan destination static yn bwysig. Os caiff ei hepgor, mae’r rheol yn troi’n gyfieithiad eang a all gyd-fynd â llawer mwy o draffig nag a fwriadwyd, a gall rheol identity eang yn gynharach yn y drefn guro hon yn llwyr. Gwiriwch show nat detail a threfn yr adrannau cyn tybio mai’ch rheol chi yw’r un sy’n cyd-fynd.

Mae PAT rhyngwyneb hefyd yn golygu bod y partner yn gweld cyfeiriad rhyngwyneb yr ASA, a all gael ei gyfieithu eto i fyny’r llif. Os yw’r contract yn enwi cyfeiriad, cadarnhewch ef o’r dechrau i’r diwedd yn hytrach nag ar un naid.

Profwch ef gyda’r gyrchfan brawf gywir

Defnyddiwch y gwesteiwr partner ei hun, nid tudalen what-is-my-ip generig. Mae’r dudalen honno bron yn sicr y tu allan i’r rhestr hollt, felly mae’n adrodd eich cyfeiriad rhyngrwyd lleol ac yn dweud dim am y llwybr hwn. Agorwch gysylltiad newydd i wasanaeth y partner a gofynnwch pa ffynhonnell a welsant, neu rhedegwch packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed a darllenwch y camau NAT a llwybro linell wrth linell. Mae traceroute o’r cleient yn wiriad gwannach, oherwydd mae’n dangos y llwybr sydd eisoes wedi digwydd yn hytrach na’r polisi a’i dewisodd.

Yna gwiriwch beth na ddylai newid. Mae’n rhaid i wefan gyffredin adael o’r cysylltiad lleol o hyd, ac mae’n rhaid i adnodd preifat yn y rhestr twndl fod yn gyrraeddadwy o hyd. Mae newid sy’n trwsio’r partner ac yn torri’r naill neu’r llall o’r rheini yn nam gwahanol.

Mae’r fersiwn sy’n gweithio o’r dyluniad hwn yn fyr: un gwesteiwr yn yr ACL hollt, caniatâd hairpin, un rheol PAT â chwmpas ar y gyrchfan. Popeth arall yn y stori yw’r myth.