Identeca NAT sur ASA kontraŭ NAT-escepto sur IOS por VPN-trafiko

Filio tenas interretan PAT kaj retejan VPN sur la sama Cisco-pordego, kaj la VPN ĉesas funkcii tuj kiam NAT aldoniĝas. La adresoj ene de la tunelo ne plu kongruas kun tio, kion protektas la crypto ACL, aŭ la kunulo vidas tradukitajn adresojn por kiuj ĝi havas neniun itineron. Cisco solvas tion en du lokoj: la ASA elektas NAT-regulon, kiu mapas adreson al ĝi mem, dum IOS tenas la fluon ekster traduka regulo per deny en la ACL. Ambaŭ konservas la originajn adresojn, kaj neniu el ili estas evitado de NAT-traktado.

Notu la fluon antaŭ ol elekti regulon

Komencu per skribo de la fluo, kiun vi intencas protekti: la loka LAN-fonto, la fora celo kaj la preciza adresparo, kiun protektas la IPsec-politiko. Faru tion antaŭ ol redakti regulon, ĉar la opo montras, kiu klasifilo aŭ NAT-regulo devus esti kongruinta.

Poste trovu la regulon, kiu efektive kongruis, ne tiun, kiun vi intencis. Sur ambaŭ platformoj NAT estas taksata laŭ ordo, kaj pli frua regulo povas venki antaŭ ol via escepto estas konsiderata. Escepto, kiu aspektas ĝusta sed malvenkas al alia regulo, neniam transdonas la atendatan paketon al la protekta politiko. La simptomo samas al mankanta escepto, tial la regula ordo devas esti legata antaŭ ol ŝanĝi la agordon.

Identeca NAT sur ASA estas regulo, ne evitado

Sur la ASA, identeca NAT estas NAT-regulo, kies tradukita adreso egalas la originalan. Ĝi estas elektata kiel ĉiu alia regulo kaj ankoraŭ instalas tradukan eron, do la paketo ne preterlasas NAT-traktadon. Kio ŝanĝiĝas estas, ke la adresoj sur la drato restas la samaj, kaj tion bezonas la IPsec-politiko.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

La interfacoj de la regulo kaj ĝia route-lookup-agordo devas kongrui kun la plusendada dezajno. Regulo, kiu mapas la adreson ĝuste sed estas aplikata al malĝusta interfaca paro, ne estos elektita por via fluo. Route-lookup decidas, ĉu la tradukita paketo estas enkursigita aŭ ĉu la origina celo estas uzata, kaj tio decidas, ĉu revena trafiko revenas tra la tunelo.

Administra aliro al la ASA mem estas aparta kazo. Se vi uzas identecan NAT por administra trafiko, validas la eldon-specifa route-lookup-postulo, kaj larĝa escepto kopiita el VPN-ekzemplo ne riparos SSH.

Deny en la IOS NAT-ACL signifas ne elektita ĉi tie

Sur IOS, interreta NAT estas regata de fonta listo, kaj tiu ACL estas klasifilo, ne filtrilo. Permit-linio elektas trafikon por traduko; deny-linio signifas, ke la paketo ne estas elektita ĉi tie. Tiu deny ne estas ordono forĵeti la paketon kiel deny en interfaca ACL.

Ne elektita ĉi tie ankaŭ estas pli mallarĝa ol neniam tradukata ie ajn. Alia NAT-regulo, alia interfaco aŭ route-map ankoraŭ povas traduki la fluon, do la tuta NAT-tabelo devas esti legata. La paketo ankaŭ bezonas itineron, kongruan crypto ACL kaj permeson ĉe la efektivaj alirregaj limoj.

Minimuma IOS-aranĝo metas la deny super la permit en la sama listo kaj direktas la overload-regulon al tiu listo. Tiam la crypto ACL protektas la saman paron, kiun la deny ekskludas de traduko.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Unu testebla demando por ambaŭ modeloj

Ambaŭ modeloj respondas la saman demandon: kiu regulo kongruis tiun fluon, kaj kiuj adresoj forlasis la interfacon? Kaptu sur la ekstera interfaco kaj komparu la fontan adreson antaŭ kaj post la pordego. Poste kontrolu la vidon de la kunulo pri la tunelo, ĉar la SA povas esti supren dum la protektita fluo estas tradukata aliloke.

Sur ASA montru nat detail kaj la tradukan tabelon; sur IOS montru ip nat translations kaj la respondajn ACL-nombradojn. Regulo, kiu neniam kreskas, neniam estis elektita, kaj tio montras al ordo, interfaco aŭ direkto, ne al la crypto-agordo.

Kie la agordo kutime eraras

La kutimaj paneoj estas mekanikaj. La deny staras sub la permit kaj neniam kongruas. La klasifilo estas aplikata en malĝusta direkto, do la revena fluo estas tradukata. La identeca regulo kovras la ĝustajn adresojn sed malĝustan interfacan paron. La crypto ACL protektas subreton, kiu ne plu kongruas kun tio, kion prezentas la NAT-regulo.

Notu la originan kaj prezentatan adresparon apud la regulposedanto, por ke la sekva inĝeniero vidu, kial klasifilo rifuzas tradukon dum la fajroŝirmilo permesas la aplikaĵon. Konservu tion en la ŝanĝbileto, ne en persona noto. Poste relanĉu la fluon post ĉiu NAT-ŝanĝo, ĉar la regula ordo estas parto de la agordo eĉ kiam la teksto de la regulo restas senŝanĝa. Tunelo, kiu supreniĝas, ne pruvas, ke la adresoj postvivis; nur la kaptita paketo kaj la malĉifrita vido de la kunulo pruvas tion.