ASAren identitate-NATa IOSen NAT baztertzearen aurka VPN trafikoarentzat

Cisco pasabideetan, ASAren identitate-NATak eta IOSen NAT sailkatzailearen salbuespenak VPN helbideak mantentzen dituzte. Arauak desberdinak dira itzulpena non saihesten den.

Adar batek interneteko PAT eta gune arteko VPN bera Cisco pasabide berean mantentzen ditu, eta VPNak funtzionatzeari uzten dio NAT gehitzen den unetik. Tunel barruko helbideak ez datoz bat crypto ACLak babesten duenarekin, edo pareak biderik ez duen helbide itzuliak ikusten ditu. Ciscok bi tokitan konpontzen du: ASAk helbide bat bere buruari mapatzen dion NAT araua hautatzen du, IOSek berriz ACLko deny baten bidez fluxua itzulpen arautik kanpo mantentzen du. Biek jatorrizko helbideak gordetzen dituzte, eta bat ere ez da NAT prozesatzetik ihes egitea.

Idatzi fluxua araua aukeratu aurretik

Hasi babestu nahi duzun fluxua idazten: LANeko jatorria, urruneko helmuga eta IPsec politikak babesten duen helbide bikote zehatza. Egin ezazu araua editatu aurretik, tuplak erakusten baitu zein sailkatzaile edo NAT arauk bat etorri behar zuen.

Ondoren aurkitu benetan bat etorri zen araua, nahi zenuena izan beharrean. Bi plataformetan NATa orden jakin batean ebaluatzen da, eta aurreko arau batek irabaz dezake zure salbuespena aztertu aurretik. Zuzena dirudien baina beste arau baten aurka galtzen duen salbuespenak ez dio inoiz babes politikari espero den paketea ematen. Sintoma salbuespen falta baten berdina da, horregatik arauen ordena irakurri behar da konfigurazioa aldatu aurretik.

ASAren identitate-NATa araua da, ez ihesa

ASAn, identitate-NATa itzulitako helbidea jatorrizkoaren berdina duen NAT araua da. Beste edozein arau bezala hautatzen da eta oraindik itzulpen sarrera bat instalatzen du, beraz paketeak ez du NAT prozesatzea saihesten. Aldatzen dena da kablean helbideak berdinak izaten jarraitzen dutela, eta horixe behar du IPsec politikak.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Arauaren interfazeek eta route-lookup ezarpenak birbidaltze diseinuarekin bat etorri behar dute. Helbidea zuzen mapatzen duen baina interfaze bikote okerrean aplikatzen den araua ez da zure fluxurako hautatuko. Route-lookupek erabakitzen du itzulitako paketea bideratzen den edo jatorrizko helmuga erabiltzen den, eta horrek erabakitzen du itzulera trafikoa tuneletik itzultzen den.

ASA beraren kudeaketa sarbidea kasu bereizia da. Kudeaketa trafikorako identitate-NATa erabiltzen baduzu, bertsioaren araberako route-lookup baldintza aplikatzen da, eta VPN adibide batetik kopiatutako salbuespen zabalak ez du SSH konponduko.

IOSko NAT ACLko deny batek hemen ez da hautatzen esan nahi du

IOSen, interneteko NATa iturburu zerrenda batek bultzatzen du, eta ACL hori sailkatzailea da, ez iragazkia. Permit lerro batek trafikoa itzulpenerako hautatzen du; deny lerro batek paketea hemen hautatzen ez dela esan nahi du. Deny hori ez da paketea botatzeko agindua, interfaze ACLko deny bat bezala.

Hemen ez hautatzea ez da inon inoiz itzultzen ez dena baino estuagoa ere. Beste NAT arau batek, beste interfaze batek edo route-map batek fluxua itzul dezakete oraindik, beraz NAT taula osoa irakurri behar da. Paketeak bidea, bat datorren crypto ACL bat eta sarbide kontrolaren benetako mugetan baimena behar ditu oraindik.

IOSko antolaketa minimo batek deny permitaren gainean jartzen du zerrenda berean eta overload araua zerrenda horretara bideratzen du. Orduan crypto ACLak denyak itzulpenetik baztertzen duen bikote bera babesten du.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Bi modeloentzako proba daitekeen galdera bat

Bi modeloek galdera berari erantzuten diote: zein arauk bat etorri zen fluxu honekin eta zein helbide atera ziren interfazetik? Harrapatu kanpoko interfazean eta konparatu iturburu helbidea pasabidearen aurretik eta ondoren. Gero egiaztatu pareak tunelari buruz duen ikuspegia, SAn altxatuta egon baitaiteke babestutako fluxua beste nonbait itzultzen ari den bitartean.

ASAn erakutsi nat detail eta itzulpen taula; IOSen erakutsi ip nat translations eta dagozkion ACL kontagailuak. Inoiz handitzen ez den arau bat inoiz ez zen hautatu, eta horrek ordena, interfazea edo norabidea seinalatzen ditu, ez crypto konfigurazioa.

Non okertzen da konfigurazioa normalean

Hutsegite arruntak mekanikoak dira. Denya permitaren azpian dago eta ez da inoiz bat etortzen. Sailkatzailea norabide okerrean aplikatzen da, beraz itzulera fluxua itzultzen da. Identitate arauak helbide zuzenak baina interfaze bikote okerra hartzen ditu. Crypto ACLak NAT arauak aurkezten duenarekin bat ez datorren azpisarea babesten du.

Idatzi jatorrizko eta aurkeztutako helbide bikotea arauaren jabearen ondoan, hurrengo ingeniariak ikus dezan zergatik ukatzen duen sailkatzaileak itzulpena suebakiak aplikazioa baimendu bitartean. Gorde hori aldaketaren txartelean, ez ohar pertsonalean. Gero exekutatu fluxua berriro NAT aldaketaren ondoren, arauen ordena konfigurazioaren parte da eta, arauaren testua aldatu ez bada ere. Altxatzen den tunel bat ez da helbideek bizirik iraun duten froga; harrapatutako paketeak eta parearen deskapsulatze ikuspegiak baizik.

Erlazionatutako artikuluak