ASA VPN hairpin: kahe tunneli marsruutimine ühe liidese kaudu

Kaugkasutaja liiklus võib väljuda samast ASA liidesest, kuhu see saabus, kuid hairpin-luba, tunneli ulatus, NAT ja ACL-id on neli eraldi otsust.

Kaugkasutaja ühendub ASA-ga, küsib hosti filiaali taga, ja ASA saadab selle päringu välja täpselt sellest liidesest, kuhu kasutaja saabus. Miski selles ei nõua teist füüsilist porti. See nõuab nelja sõltumatut otsust, mida inimesed kipuvad üheks kokku suruma: luba hairpiniks, tunnel, mis kaitseb õigeid aadresse, NAT-poliitika, mis säilitab lubatud lähte, ja juurdepääsupoliitika, mis teenuse volitab.

Üks pakett, kaks tunnelit

Jälgi voogu ja toimingute järjekord lakkab olemast mõistatuslik. Pakett saabub kaugjuurdepääsu tunnelisse, dekrüpteeritakse ja muutub tavaliseks IP-paketiks, mille lähteks on kliendipool. Seejärel marsruudib ASA selle, sobitab selle saidilt-saidile crypto ACL-iga, krüpteerib uuesti ja saadab välisliidesest filiaali suunas.

Allpool olevad aadressid on illustratiivsed, kuid kuju on oluline: lähteks on pool, mitte ASA sisemine LAN.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Sellest järeldub kaks asja. Klient vajab filiaali prefiksi marsruuti oma kaugjuurdepääsuühenduse kaudu, mis tähendab, et split-tunnel või saadetud marsruutide nimekiri peab selle sisaldama. Ja filiaal peab teadma, kuidas liiklust tagasi saata aadressile 10.77.0.20 või aadressile, mille sinu NAT-kujundus asendas.

Hairpin-luba on globaalne

Käsk, mille järele inimesed haaravad, on same-security-traffic permit intra-interface. See lubab liiklusel samasse liidesesse siseneda ja sealt väljuda, mis on täpselt see, mida see tee vajab. See on ka globaalne säte: selle lubamine muudab teiste voogude käitumist, mis juhtuvad sama liidese kaks korda läbima.

Seepärast kuulub see muudatuste kirjesse, mitte silumisseanssi. Küsi, mis veel seadmes võiks nüüd sama liidese teed kasutada, ja kas midagi sellest peaks. Tiheda liiklusega serval, kus on külalisvõrgud või kattuvad partnerite tunnelid, ei ole vastus automaatselt ei. Kirjuta põhjus sätte kõrvale, sest järgmine insener leiab käsu, mitte vestluse.

Kaitse ulatus ja NAT on eraldi

Saidilt-saidile tunnel kaitseb seda, mida tema crypto ACL valib. Kui see ACL nimetab lähteks ASA sisemise alavõrgu, ei ole kaugjuurdepääsu pool kaitstud ja pakett kas visatakse ära või saadetakse avatult, sõltuvalt platvormi käitumisest mittesobiva liikluse puhul. Lisa pool kaitstud voogu, kui kujundus säilitab pooli aadressid.

Seejärel otsustab NAT, kas pooli aadress jääb püsima. Identity NAT hoiab selle ja filiaal näeb lähtena 10.77.0.20. Tõlge muudab lepingu: filiaal saadab nüüd liikluse tagasi tõlgitud aadressile ja tema enda poliitika peab selle vastu võtma. Reeglite järjekord otsustab, kas crypto ACL sobib enne või pärast tõlget, seega loe tegelikku voogu, mitte ei eelda, kumb võidab.

Ära kustuta üldisi interneti PAT-reegleid, et üks transiidijuhtum töötaks. Suunatud erand või teadlik identity-reegel on lihtsamini seletatav ja tagasi pööratav kui auk väljuvas poliitikas.

Krüpteerimine ei ole volitamine

Töötav tunnel tõestab ainult seda, et kaks partnerit lepivad kokku võtmetes ja selektorites. See ei ütle midagi selle kohta, kas see kasutaja tohib seda teenust saavutada. Kaugjuurdepääsuühenduse külge kinnitatud VPN-filter või grupipoliitika peab ikka lubama filiaali sihtkohta ja porti ning välis tee liidese ACL kehtib endiselt.

Testi vastust mõlemas suunas. Ühendus, mis õnnestub, samal ajal kui naabriteenus peaks ebaõnnestuma, on informatiivsem kui üks edukas ping, sest see näitab, et poliitika on valiv, mitte pärani avatud. Kui keelatud test õnnestub, ei ole süüdi tunnel, vaid poliitika. Hoia mõlemad tulemused muudatuste kirjes, et järgmine inimene teaks, milline käitumine oli kavatsetud.

Hairpin või teine liides

Hairpin-transiit hoiab kujunduse väikese ja maksab ühe globaalse sätte. Eraldi liides või marsruutpõhine tunnel oma virtuaalse liidesega isoleerib transiiditee ja annab liidesepõhise poliitika, kuid nõuab aadressimist ja veel üht crypto mapi või profiili. Kumbki ei ole õigem; nad ebaõnnestuvad erinevalt.

Marsruutpõhised kujundused on teine paigutus, mitte märkeruut samas konfiguratsioonis. Kui lähed üle sellisele, lakkab ülalolev poliitikapõhise crypto ACL-i arutelu kehtimast ja marsruutimistabel hakkab valikut tegema.

Kontrolli päris kliendist

ASA-st algatatud sondil on teine lähteaadress ega läbi pooli ja filiaali vahelist teed. Kasuta packet-tracer viiuli kontrollimiseks ja ava seejärel päris ühendus tegelikust kaugkliendist, sest jälgija simuleerib ega asenda kliendi enda marsruutimist ja poliitikat.

Pärast kavandatud muudatust ühendu teenusega, mis peaks töötama, siis teenusega, mis peaks olema keelatud, ja kinnita seejärel filiaali tagasitee. Cisco näited VPN hairpin NAT-i kohta hoiavad intra-interface-luba, NAT-i ja ACL-id nähtavalt eraldi ning see on mõttemudel, mida tasub kopeerida.

Seotud artiklid