Split tunelak ez du host publiko bat ASAren NAT arauetatik kanporatzen

Split tunela normalean enpresa-trafikoa tunelaren barruan eta internetaren gainerakoa suebakiaren kanpoan edukitzeko modu gisa deskribatzen da. Deskribapen horren bi erdiak modu berean okerrak dira. Split tunela bezeroak hartzen duen ibilbide-erabakia da, eta ibilbide-erabakiak ez du ezer esaten paketearekin headend-era iritsi ondoren gertatzen denari buruz.

Helbide publiko batean dagoen bazkide-zerbitzu bakar bat, zure egoitzaren helbidea ikustea eskatzen duena, nahikoa da istorioa hankaz gora jartzeko.

Mitoa: split tunelak suebakia bidetik kentzen du

Sinesmena da barruti pribatuetatik kanpoko edozein helmuga tokiko internet konexioan geratzen dela, beraz suebakiak ez duela inoiz ikusten eta ez duela inoiz araurik behar. Hori egia da helmuga tunel-zerrendan ez dagoen bitartean soilik. Operadore batek host publiko bat split-include ACLari gehitzen dion unean, bezeroak trafiko hori tunelera bidaltzen du, eta ASAk beste edozein fluxu deszifratu bezala bideratu, filtratu eta itzuli behar du. Bezeroan ez da ezer aldatu helmuga-zerrendaz gain.

Bezeroa ez zen bideratzaile bihurtu. Eman zenion politikari jarraitu zion.

Zer egiten du benetan split-include ibilbide batek

Cisco ASA urruneko sarbideko ezarpen batean, talde-politikak split-tunnel-policy tunnelspecified eta ACL estandar bat izendatzen duen split-tunnel-network-list daramatza. ACL horretako permit lerro bakoitza bezeroak tunelera bidali behar duen helmuga da, eta gainerako guztiak tokiko bide lehenetsia erabiltzen jarraitzen du.

Host bat gehitzea lerro bakarra da, eta bezeroak ikus dezakeen aldaketaren zati bakarra da: access-list RA-SPLIT standard permit host 203.0.113.20.

Berriz konektatu bezeroa ondoren. Politika konektatzean trukatzen da, beraz ezarritako saio batek zerrenda zaharra gordetzen du eta aldaketak ezer egin ez balu bezala ematen du.

Paketea interfaze beretik iristen eta irteten da

Jarraitu orain fluxua deszifratu ondoren. Paketea kanpoko interfazetik sartu zen VPN tunelaren bidez, bere helmuga helbide publikoa da, eta bideratze-taulak kanpoko interfaze beretik bidaltzen du berriro internet aldera. Interfaze batetik sartu eta irteten den trafikoa baztertu egiten da ASAk baimena ematen ez badio, eta hori egiten du same-security-traffic permit intra-interface-ek. Hori gabe, konexioak huts egiten du bideratze-arazo bat ematen duen moduan, baina ez da hala.

Ezarpen hori globala da. Hairpinning ahalbidetzen du behar duen fluxu bakoitzerako, ez bazkide-host honetarako bakarrik, beraz berrikusitako aldaketa batean dagokio eta ez proba azkar batean.

Zergatik helmugara mugatutako PAT ez den hautazkoa

Deszifratutako paketearen iturburu-helbidea bezeroaren VPN helbidea da oraindik, normalean 10.77.0.0/24 bezalako pool batetik. Helbide horrek ez du biderik internet publikoan, beraz bazkideak edo ez du inoiz erantzuten edo inora ez du erantzuten.

Itzulpenak iturburua zuzentzen du eta helmuga ukitu gabe uzten du. Objektuak dagoeneko beste leku batean definituta daudenez, helmuga honetara mugatutako eskuizkribuzko arau batek forma hau du:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

destination static zatia garrantzitsua da. Kenduz gero, araua nahi baino trafiko askoz gehiagorekin bat egin dezakeen itzulpen zabal bihurtzen da, eta ordenan lehenago dagoen identity arau zabal batek erabat gaindi dezake hau. Egiaztatu show nat detail eta atalen ordena zure araua bat datorrena dela suposatu aurretik.

Interfaze PATak ere esan nahi du bazkideak ASAren interfaze-helbidea ikusten duela, gorago berriro itzul daitekeena. Kontratuak helbide bat izendatzen badu, muturretik muturrera egiaztatu, ez jauzi bakarrean.

Frogatu probako helmuga egokiarekin

Erabili bazkide-host bera, ez what-is-my-ip orri orokor bat. Orri hori ia ziur split zerrendatik kanpo dago, beraz zure tokiko internet helbidea ematen du eta bide honi buruz ezer ez du esaten. Ireki konexio berri bat bazkide-zerbitzura eta galdetu zer iturburu ikusi zuten, edo exekutatu packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed eta irakurri NAT eta bideratze etapak lerroz lerro. Bezerotik egindako traceroute egiaztapen ahulagoa da, jada gertatu den bidea erakusten duelako, hura aukeratu zuen politika erakutsi beharrean.

Egiaztatu ondoren zer ez den aldatu behar. Webgune arrunt batek tokiko konexiotik atera behar du oraindik, eta tunel-zerrendako baliabide pribatu batek irisgarri izan behar du oraindik. Bazkidea konpondu eta horietako bat hausten duen aldaketa beste akats bat da.

Diseinu honen funtzionatzen duen bertsioa laburra da: host bat split ACLan, hairpin baimena, helmugara mugatutako PAT arau bat. Istorioko gainerako guztia mitoa da.