ASA VPN hairpin: δρομολόγηση δύο σηράγγων μέσω μίας διεπαφής

Ένας απομακρυσμένος χρήστης συνδέεται στο ASA, ζητά έναν κεντρικό υπολογιστή πίσω από ένα υποκατάστημα, και το ASA στέλνει αυτό το αίτημα έξω από την ίδια διεπαφή από την οποία έφτασε ο χρήστης. Τίποτα από αυτά δεν απαιτεί δεύτερη φυσική θύρα. Αυτό που απαιτεί είναι τέσσερις ανεξάρτητες αποφάσεις που οι άνθρωποι τείνουν να συμπτύσσουν σε μία: άδεια για hairpin, μια σήραγγα που προστατεύει τις σωστές διευθύνσεις, μια πολιτική NAT που διατηρεί την πηγή που υποσχεθήκατε και μια πολιτική πρόσβασης που εξουσιοδοτεί την υπηρεσία.

Ένα πακέτο, δύο σήραγγες

Ακολουθήστε τη ροή και η σειρά των ενεργειών παύει να είναι μυστηριώδης. Το πακέτο φτάνει μέσα στη σήραγγα απομακρυσμένης πρόσβασης, αποκρυπτογραφείται και γίνεται ένα συνηθισμένο πακέτο IP με πηγή από τη δεξαμενή πελατών. Στη συνέχεια το ASA το δρομολογεί, το αντιπαραβάλλει με το crypto ACL από τοποθεσία σε τοποθεσία, το κρυπτογραφεί ξανά και το στέλνει από την εξωτερική διεπαφή προς το υποκατάστημα.

Οι διευθύνσεις παρακάτω είναι ενδεικτικές, αλλά το σχήμα έχει σημασία: η πηγή είναι η δεξαμενή, όχι το εσωτερικό LAN του ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Δύο πράγματα προκύπτουν. Ο πελάτης χρειάζεται διαδρομή για το πρόθεμα του υποκαταστήματος μέσω της σύνδεσής του απομακρυσμένης πρόσβασης, που σημαίνει ότι το split-tunnel ή η λίστα διαδρομών που ωθείται πρέπει να το περιλαμβάνει. Και το υποκατάστημα πρέπει να ξέρει πώς να επιστρέφει την κίνηση στη 10.77.0.20 ή στη διεύθυνση που αντικατέστησε το σχέδιο NAT σας.

Η άδεια hairpin είναι καθολική

Η εντολή στην οποία καταφεύγουν οι άνθρωποι είναι same-security-traffic permit intra-interface. Επιτρέπει στην κίνηση να εισέρχεται και να εξέρχεται από την ίδια διεπαφή, που είναι ακριβώς αυτό που χρειάζεται αυτή η διαδρομή. Είναι επίσης καθολική ρύθμιση: η ενεργοποίησή της αλλάζει τη συμπεριφορά άλλων ροών που τυχαίνει να διασχίζουν την ίδια διεπαφή δύο φορές.

Γι' αυτό ανήκει σε αρχείο αλλαγών και όχι σε συνεδρία αποσφαλμάτωσης. Ρωτήστε τι άλλο στο μηχάνημα θα μπορούσε τώρα να ακολουθήσει διαδρομή μέσω της ίδιας διεπαφής και αν κάτι από αυτά θα έπρεπε. Σε ένα πολυάσχολο άκρο με δίκτυα επισκεπτών ή αλληλοκαλυπτόμενες σήραγγες συνεργατών, η απάντηση δεν είναι αυτόματα όχι. Γράψτε τον λόγο δίπλα στη ρύθμιση, γιατί ο επόμενος μηχανικός θα βρει την εντολή και όχι τη συζήτηση.

Εύρος προστασίας και NAT είναι ξεχωριστά

Η σήραγγα από τοποθεσία σε τοποθεσία προστατεύει ό,τι επιλέγει το crypto ACL της. Αν αυτό το ACL ονομάζει ως πηγή το εσωτερικό υποδίκτυο του ASA, η δεξαμενή απομακρυσμένης πρόσβασης δεν προστατεύεται και το πακέτο είτε θα απορριφθεί είτε θα σταλεί σε καθαρή μορφή, ανάλογα με τη συμπεριφορά της πλατφόρμας για κίνηση που δεν ταιριάζει. Προσθέστε τη δεξαμενή στην προστατευμένη ροή όταν το σχέδιο διατηρεί τις διευθύνσεις της δεξαμενής.

Στη συνέχεια το NAT αποφασίζει αν η διεύθυνση της δεξαμενής επιβιώνει. Το Identity NAT τη διατηρεί και το υποκατάστημα βλέπει τη 10.77.0.20 ως πηγή. Η μετάφραση αλλάζει το συμβόλαιο: το υποκατάστημα επιστρέφει τώρα την κίνηση στη μεταφρασμένη διεύθυνση και η δική του πολιτική πρέπει να τη δεχτεί. Η σειρά κανόνων καθορίζει αν το crypto ACL ταιριάζει πριν ή μετά τη μετάφραση, οπότε διαβάστε την πραγματική ροή αντί να υποθέσετε ποιο κερδίζει.

Μη διαγράψετε τους γενικούς κανόνες PAT του διαδικτύου για να δουλέψει μία περίπτωση διέλευσης. Μια στοχευμένη εξαίρεση ή ένας σκόπιμος κανόνας ταυτότητας εξηγείται και αναστρέφεται ευκολότερα από μια τρύπα στην πολιτική εξόδου.

Η κρυπτογράφηση δεν είναι εξουσιοδότηση

Μια σήραγγα που λειτουργεί αποδεικνύει μόνο ότι δύο ομότιμοι συμφωνούν σε κλειδιά και επιλογείς. Δεν λέει τίποτα για το αν αυτός ο χρήστης επιτρέπεται να φτάσει σε εκείνη την υπηρεσία. Το φίλτρο VPN ή η πολιτική ομάδας που συνδέεται με τη σύνδεση απομακρυσμένης πρόσβασης πρέπει ακόμη να επιτρέπει τον προορισμό και τη θύρα του υποκαταστήματος, και το ACL της διεπαφής στην εξωτερική διαδρομή εξακολουθεί να ισχύει.

Δοκιμάστε την απάντηση και προς τις δύο κατευθύνσεις. Μια σύνδεση που πετυχαίνει ενώ μια γειτονική υπηρεσία θα έπρεπε να αποτύχει είναι πιο διαφωτιστική από ένα επιτυχημένο ping, γιατί δείχνει ότι η πολιτική είναι επιλεκτική και όχι ορθάνοιχτη. Αν η δοκιμή που θα έπρεπε να απορριφθεί πετύχει, το σφάλμα δεν είναι της σήραγγας αλλά της πολιτικής. Κρατήστε και τα δύο αποτελέσματα στο αρχείο αλλαγών, ώστε ο επόμενος να ξέρει ποια συμπεριφορά ήταν σκόπιμη.

Hairpin ή δεύτερη διεπαφή

Η διέλευση hairpin κρατά το σχέδιο μικρό και κοστίζει μία καθολική ρύθμιση. Μια ξεχωριστή διεπαφή ή μια σήραγγα βασισμένη σε δρομολόγηση με δική της εικονική διεπαφή απομονώνει τη διαδρομή διέλευσης και σας δίνει πολιτική ανά διεπαφή, με κόστος διευθυνσιοδότησης και άλλο ένα crypto map ή προφίλ. Κανένα δεν είναι πιο σωστό· αποτυγχάνουν διαφορετικά.

Τα σχέδια βασισμένα σε δρομολόγηση είναι άλλη διάταξη, όχι ένα πλαίσιο ελέγχου στην ίδια διαμόρφωση. Αν μεταβείτε σε ένα, η παραπάνω συζήτηση για το crypto ACL βασισμένο σε πολιτική παύει να ισχύει και ο πίνακας δρομολόγησης αρχίζει να κάνει τη δουλειά της επιλογής.

Επαληθεύστε από τον πραγματικό πελάτη

Ένας έλεγχος που ξεκινά από το ASA έχει διαφορετική διεύθυνση πηγής και δεν θα ασκήσει τη διαδρομή από τη δεξαμενή στο υποκατάστημα. Χρησιμοποιήστε το packet-tracer για να ελέγξετε την πεντάδα, και μετά ανοίξτε πραγματική σύνδεση από τον πραγματικό απομακρυσμένο πελάτη, γιατί ο ιχνηλάτης προσομοιώνει και δεν αντικαθιστά τη δρομολόγηση και την πολιτική του ίδιου του πελάτη.

Μετά από μια προγραμματισμένη αλλαγή, συνδεθείτε σε μια υπηρεσία που θα έπρεπε να λειτουργεί, μετά σε μία που θα έπρεπε να απορρίπτεται, και έπειτα επιβεβαιώστε τη διαδρομή επιστροφής του υποκαταστήματος. Τα παραδείγματα NAT hairpin για VPN της Cisco κρατούν την άδεια intra-interface, το NAT και τα ACL ορατά ξεχωριστά, και αυτό είναι το νοητικό μοντέλο που αξίζει να αντιγράψετε.