ASA VPN hairpin: bi tunel interfaze bakarrean bideratzea

Urruneko erabiltzaile baten trafikoak iritsi zen ASA interfaze beretik irten daiteke, baina hairpin baimena, tunelaren irismena, NATa eta ACLak lau erabaki bereizi dira.

Urruneko erabiltzaile bat ASAn konektatzen da, adar baten atzeko ostalari bat eskatzen du, eta ASAk eskaera hori erabiltzailea iritsi zen interfaze beretik bidaltzen du. Horrek ez du bigarren ataka fisikorik behar. Behar duena lau erabaki independente dira, jendeak bat bakarrean batu ohi dituenak: hairpin egiteko baimena, helbide egokiak babesten dituen tunela, agindu zenuen jatorria gordetzen duen NAT politika eta zerbitzua baimentzen duen sarbide politika.

Pakete bat, bi tunel

Jarrai iezaiozu fluxuari eta eragiketen ordena ez da misteriotsua izateari uzten. Paketea urruneko sarbideko tunelaren barruan iristen da, deszifratu egiten da eta bezeroen multzotik sortutako IP pakete arrunta bihurtzen da. Gero ASAk bideratu egiten du, gunez guneko crypto ACLarekin parekatu, berriro zifratu eta kanpoko interfazetik adarrera bidaltzen du.

Beheko helbideak adibidezkoak dira, baina formak garrantzia du: jatorria multzoa da, ez ASAk barruko LAN.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Hortik bi gauza datoz. Bezeroak adarraren aurrizkirako bide bat behar du bere urruneko sarbideko konexioaren bidez, hau da, split-tunnel edo bultzatutako bide zerrendak hura sartu behar duela. Eta adarrak jakin behar du nola itzuli trafikoa 10.77.0.20ra edo zure NAT diseinuak ordezkatu duen helbidera.

Hairpin baimena globala da

Jendeak hartzen duen komandoa hau da: same-security-traffic permit intra-interface. Trafikoari interfaze beretik sartzen eta irteten uzten dio, eta bide honek hain zuzen hori behar du. Ezarpen globala ere bada: gaitzeak interfaze bera bi aldiz zeharkatzen duten beste fluxuen portaera aldatzen du.

Horregatik aldaketa erregistroan dagokio, ez arazketa saioan. Galdetu zer gehiagok har dezakeen orain interfaze beretik doan bide bat, eta horietakoren batek egin beharko lukeen. Gonbidatu sareak edo gainjarritako bazkide tunelak dituen ertz lanpetuan, erantzuna ez da automatikoki ez. Idatzi arrazoia ezarpenaren ondoan, hurrengo ingeniariak komandoa aurkituko baitu, ez elkarrizketa.

Babes irismena eta NAT bereiziak dira

Gunez guneko tunelak bere crypto ACLak hautatzen duena babesten du. ACL horrek ASAk barruko azpisarea jatorri gisa izendatzen badu, urruneko sarbideko multzoa ez dago babestuta eta paketea baztertu egingo da edo argi bidaliko da, plataformak bat ez datozen trafikoekin duen portaeraren arabera. Gehitu multzoa babestutako fluxuari diseinuak multzoko helbideak gordetzen dituenean.

Gero NATak erabakitzen du multzoko helbidea bizirik iraungo duen. Identity NATak mantendu egiten du, eta adarrak 10.77.0.20 ikusten du jatorri gisa. Itzulpenak kontratua aldatzen du: adarrak orain helbide itzuliari itzultzen dio trafikoa, eta bere politika propioak onartu behar du. Arauen ordenak erabakitzen du crypto ACLak itzulpenaren aurretik edo ondoren bat egiten duen, beraz irakurri benetako fluxua, zein nagusituko den suposatu beharrean.

Ez ezabatu interneteko PAT arau orokorrak trantsitu kasu bat lantzeko. Salbuespen zehatz bat edo identity arau deliberatu bat errazago azaltzen eta atzeratzen da irteerako politikan zulo bat egitea baino.

Zifratzea ez da baimena

Funtzionatzen duen tunel batek soilik frogatzen du bi aldeak gakoetan eta hautatzaileetan ados daudela. Ez du ezer esaten erabiltzaile honek zerbitzu horretara irits daitekeen ala ez. Urruneko sarbideko konexioari lotutako VPN iragazkiak edo talde politikoak adarraren helmuga eta ataka baimendu behar ditu oraindik, eta kanpoko bideko interfaze ACLak oraindik aplikatzen dira.

Probatu erantzuna bi noranzkoetan. Alboko zerbitzu batek huts egin behar lukeen bitartean arrakasta duen konexio bat ping arrakastatsu bat baino informatiboagoa da, politika hautakorra dela erakusten baitu, ez erabat irekia. Ukatu behar zen proba arrakastatsua bada, ez da tunela erruduna, politika baizik. Gorde bi emaitzak aldaketa erregistroan, hurrengo pertsonak jakin dezan zein portaera zen asmoa.

Hairpin edo bigarren interfaze bat

Hairpin trantsituak diseinua txiki mantentzen du eta ezarpen global bat kostatzen da. Interfaze bereizi batek, edo bere interfaze birtuala duen bideetan oinarritutako tunel batek, trantsitu bidea isolatzen du eta interfaze bakoitzeko politika ematen dizu, helbideratzearen eta beste crypto map edo profil baten truke. Bat ere ez da zuzenagoa; modu desberdinean huts egiten dute.

Bideetan oinarritutako diseinuak beste antolaketa bat dira, ez konfigurazio berean dagoen kontrol-lauki bat. Horrelako batera pasatzen bazara, goiko politika bidezko crypto ACL eztabaidak indarra galtzen du eta bideratze taulak hasten da hautapen lana egiten.

Egiaztatu benetako bezero batetik

ASAk abiatutako zundaketa batek beste jatorri helbide bat du eta ez du multzotik adarrera doan bidea probatuko. Erabili packet-tracer bostukoa egiaztatzeko, eta gero ireki benetako konexioa urruneko bezero errealetik, trazatzailak simulatu egiten bait du eta ez ditu bezeroaren bideratzea eta politika ordezkatzen.

Aldaketa planifikatu baten ondoren, konektatu funtzionatu beharko lukeen zerbitzu batera, gero ukatu beharko litzatekeen batera, eta gero berretsi adarraren itzulera bidea. Ciscoren VPN hairpin NAT adibideek intra-interface baimena, NATa eta ACLak bereizita erakusten dituzte, eta hori da kopiatzea merezi duen pentsamendu eredua.

Erlazionatutako artikuluak