Split-tunnel ei vabasta avalikku hosti ASA NAT-reeglitest

Split-tunnelit kirjeldatakse tavaliselt viisina hoida ettevõtte liiklus tunnelis ja ülejäänud internet väljaspool tulemüüri. Selle kirjelduse mõlemad pooled on samamoodi valed. Split-tunnel on kliendi tehtud marsruudiotsus ja marsruudiotsus ei ütle midagi selle kohta, mis juhtub paketiga pärast seda, kui see jõuab headendini.

Üks partnerteenus avalikul aadressil, mis nõuab sinu peakontori aadressi nägemist, on piisav, et see lugu kokku variseks.

Müüt: split-tunnel võtab tulemüüri teelt välja

Usk on, et iga sihtkoht väljaspool privaatseid vahemikke jääb kohalikule internetiühendusele, nii et tulemüür ei näe seda kunagi ega vaja selle jaoks kunagi reeglit. See kehtib ainult seni, kuni sihtkoht pole tunneliloendis. Hetkel, mil operaator lisab avaliku hosti split-include ACL-i, saadab klient selle liikluse tunnelisse ja ASA peab seda marsruutima, filtreerima ja tõlkima nagu iga teist dekrüpteeritud voogu. Kliendil pole muutunud miski peale sihtkohtade loendi.

Klient ei muutunud ruuteriks. Ta järgis poliitikat, mille sa talle andsid.

Mida split-include marsruut tegelikult teeb

Cisco ASA kaugjuurdepääsu seadistuses kannab grupipoliitika split-tunnel-policy tunnelspecified ja split-tunnel-network-list, mis nimetab standardset ACL-i. Iga permit-rida selles ACL-is on sihtkoht, mille klient peab tunnelisse saatma, ja kõik muu kasutab edasi kohalikku vaikemarsruuti.

Ühe hosti lisamine on üks rida ja see on ainus osa muudatusest, mida klient näeb: access-list RA-SPLIT standard permit host 203.0.113.20.

Seejärel ühenda klient uuesti. Poliitikat vahetatakse ühendamise ajal, seega olemasolev seanss hoiab vana loendi ja muudab muudatuse näiliseks, nagu poleks see midagi teinud.

Pakett saabub ja lahkub samal liidesel

Jälgi nüüd voogu pärast dekrüptimist. Pakett sisenes VPN-tunneli kaudu välisliidesele, selle sihtkoht on avalik aadress ja marsruutimistabel saadab selle sama välisliidese kaudu tagasi internetti. Liiklus, mis siseneb ja väljub ühel liidesel, visatakse ära, kui ASA-l pole lubatud seda läbi lasta, ja seda teebki same-security-traffic permit intra-interface. Ilma selleta ebaõnnestub ühendus viisil, mis näeb välja nagu marsruutimisprobleem, aga ei ole seda.

See säte on globaalne. See lubab hairpinimist igal voogudel, mis seda vajab, mitte ainult sellel partnerhostil, seega kuulub see ülevaadatud muudatusse, mitte kiirtesti.

Miks sihtkohaga piiratud PAT pole valikuline

Dekrüpteeritud paketi lähteaadress on endiselt kliendi VPN-aadress, tavaliselt basseinist nagu 10.77.0.0/24. Sellel aadressil pole avalikus internetis marsruuti, seega partner kas ei vasta kunagi või vastab mitte kuhugi.

Tõlkimine parandab lähteaadressi ja jätab sihtkoha puutumata. Kuna objektid on juba mujal määratletud, on selle sihtkohaga piiratud käsitsi reegel selline:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

Osa destination static on oluline. Kui selle välja jätad, muutub reegel laiaks tõlkeks, mis võib sobida palju rohkema liiklusega kui kavatsetud, ja järjekorras varasem lai identity-reegel võib selle täielikult üle lüüa. Kontrolli show nat detail ja jaotiste järjekorda enne, kui eeldad, et sinu reegel on see, mis sobib.

Liidese PAT tähendab ka seda, et partner näeb ASA liidese aadressi, mida võidakse ülalpool uuesti tõlkida. Kui leping nimetab aadressi, kinnita see otsast otsani, mitte ühel hüppel.

Tõesta seda õige testsihtkohaga

Kasuta partnerhosti ennast, mitte üldist what-is-my-ip lehte. See leht on peaaegu kindlasti split-loendist väljas, seega näitab see sinu kohalikku internetiaadressi ega ütle selle tee kohta midagi. Ava partnerteenusesse uus ühendus ja küsi, millist lähteaadressi nad nägid, või käivita packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed ja loe NAT-i ja marsruutimise etappe rida rea haaval. Kliendist tehtud traceroute on nõrgem kontroll, sest see näitab teed, mis juba juhtus, mitte poliitikat, mis selle valis.

Seejärel kontrolli, mis ei tohi muutuda. Tavaline veebisait peab ikka väljuma kohaliku ühenduse kaudu ja tunneliloendis olev privaatne ressurss peab ikka kättesaadav olema. Muudatus, mis parandab partneri ja rikub ühe neist kahest, on hoopis teine viga.

Selle kavandi töötav versioon on lühike: üks host split-ACL-is, hairpini luba, üks sihtkohaga piiratud PAT-reegel. Kõik muu selles loos on müüt.