ASA hairpin: internet-irteera edo gune arteko VPN hanka?

Bezeroen poolak internetera edo gune VPN batera irten daiteke. Erabaki zein hanka behar duzun NAT idatzi aurretik, eta gero egiaztatu ibilbidea, hautatzailea eta erantzun-bidea.

ASA beraren atzeko urruneko sarbideko bi erabiltzailek kanpoko interfaze beretik bidal dezakete trafikoa eta erabat desberdin tratatuak izan. Bata webgune publiko batera doa, beraz paketeak iturburu-itzulpena eta internet-ibilbidea behar ditu. Bestea gune arteko tunel baten atzeko zerbitzari batera doa, tunel hori ere interfaze horretan amaitzen da, beraz paketeak identitatea, bat datorren tunel-hautatzailea eta bezeroen poolera itzultzeko bidea behar ditu. Interfaze bererako baimena bientzako aurrebaldintza da eta bientzako konponbidea ez.

Bi hanka, interfaze bat

Erabaki zein hanka eraikitzen ari zaren NAT araua idatzi aurretik, arauak ez baitira trukagarriak. A hanka bezerotik internetetara da: poolaren helbidea sartu, itzulitako helbide publikoa irten, interfaze beretik itzuli. B hanka bezerotik beste IPsec kide baten beste aldeko aurrizki pribatu batera da: poolaren helbidea gordetzen da, berriz enkriptatzen da eta poolari nola erantzun jakin behar duen kide bati entregatzen zaio.

Biek lehenik behar dutena interfaze bererako baimena da. Hori gabe ASAri uko egiten dio paketea iritsi zen interfazetik aurrera eramateari, eta hutsegiteak bideratze-arazo dirudi, ez politika-arazo:

same-security-traffic permit intra-interface

Lerro bakar horrek aurreraeramateko antolamendua baimentzen du, honela deskribatzen duen bezala ASA NAT erreferentzia interfaze bererako bideetarako. Ez du bezero-ibilbiderik gehitzen, ez du baliabiderik baimentzen, ez du helbiderik itzultzen eta ez du IPsec hautatzailearekin negoziatzen, beraz espero ezazu hiru edo lau gauza gehiago gehitzea haren ondoren, eta ez irakurri haren onarpena aurrerapen gisa.

A hanka: bezeroak internet nahi du

Internet-irteera baterako poolaren helbidea pribatua izateari utzi behar dio paketeak gailutik irten aurretik. PAT diseinu arrunt batean arauak poolaren helbidea kanpoko interfazearen helbidera itzultzen du, eta itzultze-egoerak bezeroaren fluxua berrezartzen du:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Gero egiaztatu bezeroak benetan ASAri eskatu ziola trafiko hori eramatea. Tunel banatuaren bazterketa batek helmuga publikoa telefonaren beraren konexioaren bidez bidaltzen du, hori ez baita inoiz ASAra iristen, eta NAT arauak ez du inoiz bidali ez zen pakete bat konpontzen. Alderatu talde-politikaren tunel banatuaren zerrenda probatzen ari zaren helmugarekin.

Hankaren gainerakoa arrunta da: kanpoko interfazetik erabil daitekeen ibilbide lehenetsia edo zehatza, fluxua baimentzen duen sarbide-politika, eta aukeratu duzun resolver politikaren arabera kudeatutako DNS. Gehitu route-lookup hemen behean bezalako arrazoi beragatik, sarrera- eta irteera-interfazea berdinak baitira.

B hanka: bezeroak gune pribatu bat nahi du

Hanka honek leku gehiagotan huts egiten du, beraz idatzi ordenan. Lehenik bezeroaren ibilbidea: helmuga-aurrizkia tunel banatuaren zerrendan egon behar da, bestela bezeroak ez du tunelean jarriko. Bigarrenik tunel-hautatzailea: gune arteko kripto-ACLk poolaren helbidea urruneko aurrizkira arte estali behar du, ez soilik LAN lokala urruneko aurrizkira arte. Hirugarrenik identitatea, poolaren helbidea bidean zehar interneteko PATra itzul ez dadin.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Urruneko aldea jendeak probatzeari uzten dion zatia da. Kideak poolera itzultzeko ibilbidea eta hura barne hartzen duen hautatzailea behar ditu, eta bere politikak ikusiko dituen iturburu-helbideak baimendu behar ditu. Gunea itzulitako ikuspegi baten bidez erabiltzen bada, diseinu baliozkoa da, baina orduan bi kideek, bi hautatzaileek eta bi bideratze-taulek helbide itzuliekin bat etorri behar dute.

Egiaztatu arauen ordena ere. Identitate-arauaren gaineko PAT arau zabal batek truke pribatua itzuliko du identitate-araua ebaluatu aurretik, eta sintoma NAT errore bat izan beharrean SA parekaturik gabeko gune-tunela da.

Eraiki duzun hanka zein den esaten duen proba

Erabili ASAren beraren bide-ebaluazioa, konfigurazioa irakurri eta itxaroten aritu beharrean. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed fluxu baterako NAT erabakia, ibilbidea eta ACL emaitza erakusten ditu; errepikatu helmuga pribatu batekin. NAT faseak pribatutik pribaturako fluxua berridazten badu, B hanka behar zuen pakete baterako A hanka eraiki duzu.

Beste bi komandok hutsartea ixten dute. show nat detail packet-tracerrek jarraitutako arauen ordena inprimatzen du, eta show crypto ipsec sa espero duzun bikoterako hautatzaile bat dagoen erakusten du. Falta den SA bat hautatzaile edo kide konfigurazio kontua da, ez NAT arauak konpon dezakeen zerbait.

Egiaztatu hanka bakoitza zerbitzatzen duen trafikoarekin

Onartu A hanka bezeroaren ohiko eskaera publiko batekin, eta onartu B hanka benetan existitzen den baliabide pribatu baterako eskaera batekin. Gero errepikatu bakoitza ukatutako baliabide batekin, „baimendua“ eta „sarbide-politikak baimendua“ ez baitira froga bera, eta zentrotik sortutako ping batek ez du bezeroaren bideetako bat ere probatzen.

Eduki bi proba-erregistroak txartelean bereizita: iturburu-helbidea, helmuga, bat etorri zen NAT araua eta emaitza. Hurrengo txostenak „VPNa hondatuta dago“ esaten duenean, bikote horrek minutu batean esaten dizu zein hanka okerrera egin duen, eta erantzuna ibilbide bat edo hautatzaile bat izan ohi da, denek lehenengo susmatzen duten interfaze bereko lerroa izan beharrean.

Erlazionatutako artikuluak