ASA hairpin: eliro al la interreto aŭ kruro de VPN inter lokoj?

Du remotaj uzantoj malantaŭ la sama ASA povas sendi trafikon el la sama ekstera interfaco kaj ricevi tute malsaman trakton. Unu iras al publika retejo, do la paketo bezonas fontan tradukon kaj interretan itineron. La alia iras al servilo malantaŭ loko-al-loka tunelo, kiu ankaŭ finiĝas sur tiu interfaco, do la paketo bezonas identecon, kongruan tunelan selektilon kaj revenan vojon al la klienta baseno. Permeso por la sama interfaco estas antaŭkondiĉo por ambaŭ kaj solvo por neniu.

Du kruroj, unu interfaco

Decidu, kiun kruron vi konstruas, antaŭ ol vi tajpas NAT-regulon, ĉar la reguloj ne estas interŝanĝeblaj. Kruro A estas kliento al interreto: basena adreso enen, tradukita publika adreso eksteren, reen tra la sama interfaco. Kruro B estas kliento al privata prefikso ĉe la malproksima flanko de alia IPsec-partnero: la basena adreso restas, estas reĉifrata kaj liverata al partnero, kiu devas scii kiel respondi al la baseno.

Kion ambaŭ unue bezonas, estas la permeso por la sama interfaco. Sen ĝi la ASA rifuzas plusendi paketon el la interfaco, sur kiu ĝi alvenis, kaj la malsukceso aspektas kiel itinera problemo anstataŭ politika problemo:

same-security-traffic permit intra-interface

Tiu unu linio permesas plusendan aranĝon, kiel priskribas la ASA NAT-referenco por vojoj tra la sama interfaco. Ĝi aldonas neniun klientan itineron, permesas neniun rimedon, tradukas neniun adreson kaj intertraktas neniun IPsec-selektilon, do atendu aldoni ankoraŭ tri aŭ kvar aferojn post ĝi kaj ne legu ĝian akcepton kiel progreson.

Kruro A: la kliento volas la interreton

Por interreta eliro la basena adreso devas ĉesi esti privata antaŭ ol la paketo forlasas la aparaton. En ordinara PAT-dezajno la regulo tradukas la basenon al la adreso de la ekstera interfaco, kaj la reena stato restarigas la klientan fluon:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Poste konfirmu, ke la kliento efektive petis al la ASA porti tiun trafikon. Dividita-tunela escepto sendas la publikan celon tra la propra konekto de la telefono, kiu neniam atingas la ASA, kaj neniu NAT-regulo riparas paketon, kiu neniam estis sendita. Komparu la dividitan-tunelan liston de la grupa politiko kun la celo, kiun vi testas.

La resto de la kruro estas ordinara: uzebla defaŭlta aŭ specifa itinero el la ekstera interfaco, alirpolitiko, kiu permesas la fluon, kaj DNS traktata laŭ la elektita solvila politiko. Aldonu route-lookup ĉi tie pro la sama kialo kiel sube, ĉar la enira kaj elira interfacoj estas identaj.

Kruro B: la kliento volas privatan lokon

Ĉi tiu kruro malsukcesas en pli da lokoj, do skribu ĝin laŭorde. Unue la klienta itinero: la cela prefikso devas esti en la dividita-tunela listo, alie la kliento ne metos ĝin en la tunelon. Due la tunela selektilo: la kripta ACL loko-al-loka devas kovri basenan adreson al malproksima prefikso, ne nur la lokan LAN al la malproksima prefikso. Trie identeco, por ke la basena adreso ne estu tradukata en la interretan PAT survoje.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

La malproksima flanko estas la parto, kiun homoj forgesas testi. La partnero bezonas itineron reen al la baseno kaj selektilon, kiu inkluzivas ĝin, kaj ĝia propra politiko devas permesi la fontajn adresojn, kiujn ĝi vidos. Se la loko estas uzata per tradukita vido anstataŭe, tio estas valida dezajno, sed tiam ambaŭ partneroj, ambaŭ selektiloj kaj ambaŭ itineraj tabeloj devas interkonsenti pri la tradukitaj adresoj.

Kontrolu ankaŭ la regulan ordon. Larĝa PAT-regulo super la identeca regulo tradukos la privatan interŝanĝon antaŭ ol la identeca regulo estos taksata, kaj la simptomo estas loka tunelo sen kongrua SA anstataŭ NAT-eraro.

La testo, kiu diras al vi, kiun kruron vi konstruis

Uzu la propran vojan taksadon de la ASA anstataŭ legi la agordon kaj esperi. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed montras la NAT-decidon, la itineron kaj la ACL-rezulton por unu fluo; ripetu ĝin kun privata celo. Se la NAT-fazo reverkas fluon de privata al privata, vi konstruis kruron A por paketo, kiu bezonis kruron B.

Du pliaj komandoj fermas la breĉon. show nat detail presas la regulan ordon, kiun packet-tracer sekvis, kaj show crypto ipsec sa montras, ĉu ekzistas selektilo por la paro, kiun vi atendas. Mankanta SA estas afero de selektila aŭ partnera agordo, ne io, kion la NAT-regulo povas ripari.

Kontrolu ĉiun kruron per la trafiko, kiun ĝi servas

Akceptu kruron A per ordinara publika peto de la kliento, kaj akceptu kruron B per peto al privata rimedo, kiu vere ekzistas. Poste ripetu ĉiun per rifuzita rimedo, ĉar „permesita“ kaj „aprobita de la alirpolitiko“ ne estas la sama pruvo, kaj ping origininta ĉe la centro ekzercas neniun el la klientaj vojoj.

Tenu la du testajn rikordojn aparte en la bileto: fonta adreso, celo, la kongrua NAT-regulo kaj rezulto. Kiam la sekva raporto diros „la VPN estas rompita“, tiu paro diras al vi ene de minuto, kiu kruro regresis, kaj la respondo kutime estas itinero aŭ selektilo anstataŭ la linio pri la sama interfaco, kiun ĉiuj suspektas unue.