ASA hairpin: interneti väljund või saidi ja saidi vahelise VPN haru?

Kliendipool võib väljuda internetti või saidi VPN-i. Otsustage, millist haru vajate, enne kui NAT-i kirjutate, seejärel kontrollige marsruuti, selektorit ja vastusteekonda.

Kaks kaugjuurdepääsu kasutajat sama ASA taga võivad saata liiklust samast välisliidesest ja saada täiesti erineva kohtlemise. Üks läheb avalikku veebisaiti, seega vajab pakett lähtetõlget ja interneti marsruuti. Teine läheb serverisse saidi ja saidi vahelise tunneli taga, mis lõpeb samuti sellel liidesel, seega vajab pakett identiteeti, sobivat tunneli selektorit ja tagasiteed kliendipooli juurde. Sama liidese luba on mõlemale eeltingimus ja kummalelegi lahendus.

Kaks haru, üks liides

Otsustage, millist haru ehitate, enne kui NAT-reegli kirjutate, sest reeglid ei ole vahetatavad. Haru A on klient interneti: pooli aadress sisse, tõlgitud avalik aadress välja, tagasi sama liidese kaudu. Haru B on klient privaatsele prefiksile teise IPsec-partneri vastasküljel: pooli aadress säilib, krüpteeritakse uuesti ja toimetatakse partnerile, kes peab teadma, kuidas poolile vastata.

Mõlemad vajavad kõigepealt sama liidese luba. Ilma selleta keeldub ASA paketti edasi saatmast liidesest, millelt see saabus, ja tõrge näeb välja marsruutimise, mitte poliitika probleemina:

same-security-traffic permit intra-interface

See üks rida lubab edastuskorralduse, nagu kirjeldab ASA NAT-i viide sama liidese teid. See ei lisa kliendi marsruuti, ei volita ressurssi, ei tõlgi aadressi ega läbiräägi IPsec-selektorit, seega oodake pärast seda veel kolme või nelja asja lisamist ja ärge lugege selle vastuvõtmist edusammuks.

Haru A: klient tahab internetti

Interneti väljundi jaoks peab pooli aadress lakkama olemast privaatne enne, kui pakett seadmest lahkub. Tavalises PAT-kavandis tõlgib reegel pooli välisliidese aadressiks ja tagasipöördumise olek taastab kliendi suunas liikluse:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Seejärel kinnitage, et klient tõesti palus ASA-l seda liiklust kanda. Split-tunneli erand saadab avaliku sihtkoha telefoni enda ühenduse kaudu, mis ei jõua ASA-ni kunagi, ja ükski NAT-reegel ei paranda paketti, mida kunagi ei saadetud. Võrrelge grupipoliitika split-tunneli loendit sihtkohaga, mida testite.

Ülejäänud haru on tavaline: kasutatav vaike- või konkreetne marsruut välisliidesest, juurdepääsupoliitika, mis lubab voogu, ja DNS, mida käsitletakse valitud resolveri poliitika järgi. Lisage route-lookup siia samal põhjusel nagu allpool, kuna sisenemis- ja väljumisliides on identsed.

Haru B: klient tahab privaatset saiti

See haru ebaõnnestub rohkemates kohtades, seega kirjutage see järjekorras. Esiteks kliendi marsruut: sihtprefiks peab olema split-tunneli loendis, muidu ei pane klient seda tunnelisse. Teiseks tunneli selektor: saidi ja saidi vaheline krüpto-ACL peab katma pooli aadressi kuni kaugprefiksini, mitte ainult kohalikku LAN-i kuni kaugprefiksini. Kolmandaks identiteet, et pooli aadressi ei tõlgitaks teel interneti PAT-iks.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Kaugpool on see osa, mida inimesed unustavad testida. Partner vajab marsruuti tagasi pooli juurde ja selektorit, mis selle hõlmab, ning selle enda poliitika peab lubama lähteaadresse, mida ta näeb. Kui saiti kasutatakse hoopis tõlgitud vaate kaudu, on see kehtiv kavand, kuid siis peavad mõlemad partnerid, mõlemad selektorid ja mõlemad marsruutimistabelid tõlgitud aadressides kokku leppima.

Kontrollige ka reeglite järjekorda. Lai PAT-reegel identiteedireegli kohal tõlgib privaatse vahetuse enne, kui identiteedireeglit üldse hinnatakse, ja sümptomiks on saidi tunnel ilma sobiva SA-ta, mitte NAT-i viga.

Test, mis ütleb teile, millise haru te ehitasite

Kasutage ASA enda tee hindamist, selle asemel et konfiguratsiooni lugeda ja loota. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed näitab NAT-i otsust, marsruuti ja ACL-i tulemust ühe voo jaoks; korrake seda privaatse sihtkohaga. Kui NAT-i faas kirjutab ümber privaatsest privaatsesse voo, ehitasite haru A paketile, mis vajas haru B.

Veel kaks käsku sulgevad lünga. show nat detail prindib reeglite järjekorra, mida packet-tracer järgis, ja show crypto ipsec sa näitab, kas oodatud paari jaoks on selektor olemas. Puuduv SA on selektori või partneri konfiguratsiooni küsimus, mitte midagi, mida NAT-reegel parandada saab.

Kontrollige iga haru liiklusega, mida see teenindab

Võtke haru A vastu kliendi tavalise avaliku päringuga ja haru B päringuga privaatsele ressursile, mis tõesti olemas on. Seejärel korrake mõlemat keelatud ressursiga, sest „lubatud“ ja „juurdepääsupoliitikaga lubatud“ ei ole sama tõend, ja jaoturi juurest algav ping ei harjuta kumbagi kliendi teed.

Hoidke kaks testikirjet piletil eraldi: lähteaadress, sihtkoht, sobiv NAT-reegel ja tulemus. Kui järgmine raport ütleb „VPN on katki“, ütleb see paar teile minuti jooksul, milline haru taandarenes, ja vastuseks on tavaliselt marsruut või selektor, mitte sama liidese rida, mida kõik esimesena kahtlustavad.

Seotud artiklid