ASA hairpin: internetpoistuma vai sivustojen välinen VPN-haara?

Kaksi etäkäyttäjää saman ASA:n takana voivat lähettää liikennettä samasta ulkoisesta liittymästä ja saada täysin erilaisen kohtelun. Toinen menee julkiselle verkkosivustolle, joten paketti tarvitsee lähdekäännöksen ja internetreitin. Toinen menee palvelimelle sivustojen välisen tunnelin taakse, joka myös päättyy samaan liittymään, joten paketti tarvitsee identiteetin, vastaavan tunnelin valitsimen ja paluupolun asiakaspooliin. Saman liittymän lupa on molempien edellytys eikä kummankaan ratkaisu.

Kaksi haaraa, yksi liittymä

Päätä, kumpaa haaraa rakennat, ennen kuin kirjoitat NAT-säännön, koska säännöt eivät ole vaihdettavissa. Haara A on asiakkaasta internetiin: poolin osoite sisään, käännetty julkinen osoite ulos, takaisin saman liittymän kautta. Haara B on asiakkaasta toisen IPsec-vertaisen vastakkaisella puolella olevaan yksityiseen etuliitteeseen: poolin osoite säilyy, salataan uudelleen ja toimitetaan vertaiselle, jonka on tiedettävä, miten pooliin vastataan.

Molemmat tarvitsevat ensin saman liittymän luvan. Ilman sitä ASA kieltäytyy välittämästä pakettia liittymästä, johon se saapui, ja vika näyttää reititysongelmalta eikä käytäntöongelmalta:

same-security-traffic permit intra-interface

Tämä yksi rivi sallii välitysjärjestelyn, kuten ASA:n NAT-viite kuvaa saman liittymän poluille. Se ei lisää asiakasreittiä, valtuuta resurssia, käännä osoitetta eikä neuvottele IPsec-valitsinta, joten odota lisääväsi vielä kolme tai neljä asiaa sen jälkeen äläkä lue sen hyväksyntää edistymisenä.

Haara A: asiakas haluaa internetin

Internetpoistumaa varten poolin osoitteen on lakattava olemasta yksityinen ennen kuin paketti lähtee laitteesta. Tavallisessa PAT-ratkaisussa sääntö kääntää poolin ulkoisen liittymän osoitteeksi ja paluutila palauttaa asiakkaan suuntaisen virtauksen:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Vahvista sitten, että asiakas todella pyysi ASA:ta kuljettamaan tämän liikenteen. Jaetun tunnelin poissulku lähettää julkisen kohteen puhelimen oman yhteyden kautta, joka ei koskaan saavu ASA:lle, eikä mikään NAT-sääntö korjaa pakettia, jota ei koskaan lähetetty. Vertaa ryhmäkäytännön jaetun tunnelin luetteloa kohteeseen, jota testaat.

Haran loppuosa on tavallinen: käyttökelpoinen oletus- tai tarkka reitti ulkoisesta liittymästä, virtauksen salliva käyttöoikeuskäytäntö ja DNS, jota käsitellään valitsemasi resolverikäytännön mukaan. Lisää route-lookup tähän samasta syystä kuin alla, koska tulo- ja lähtöliittymä ovat samat.

Haara B: asiakas haluaa yksityisen sivuston

Tämä haara epäonnistuu useammassa paikassa, joten kirjoita se järjestyksessä. Ensin asiakasreitti: kohde-etuliitteen on oltava jaetun tunnelin luettelossa, muuten asiakas ei aseta sitä tunneliin. Toiseksi tunnelin valitsin: sivustojen välisen salaus-ACL:n on katettava poolin osoite etäetuliitteeseen, ei vain paikallinen LAN etäetuliitteeseen. Kolmanneksi identiteetti, jotta poolin osoitetta ei käännetä matkalla internet-PAT:ksi.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Etäpuoli on se osa, jonka testaamisen ihmiset unohtavat. Vertais tarvitsee reitin takaisin pooliin ja valitsimen, joka sisältää sen, ja sen oman käytännön on sallittava lähdeosoitteet, jotka se näkee. Jos sivustoa käytetään sen sijaan käännetyllä näkymällä, se on kelvollinen suunnittelu, mutta silloin molempien vertaisten, molempien valitsimien ja molempien reititystaulujen on oltava yhtä mieltä käännetyistä osoitteista.

Tarkista myös sääntöjärjestys. Identiteettisäännön yläpuolella oleva laaja PAT-sääntö kääntää yksityisen vaihdon ennen kuin identiteettisääntöä edes arvioidaan, ja oireena on sivustotunneli ilman vastaavaa SA:ta eikä NAT-virhe.

Testi, joka kertoo, kumman haaran rakensit

Käytä ASA:n omaa polun arviointia sen sijaan, että lukisit kokoonpanon ja toivoisit. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed näyttää NAT-päätöksen, reitin ja ACL-tuloksen yhdelle virtaukselle; toista se yksityisellä kohteella. Jos NAT-vaihe kirjoittaa uudelleen yksityisestä yksityiseen -virtauksen, rakensit haaran A paketille, joka tarvitsi haaran B.

Kaksi komentoa lisää sulkee aukon. show nat detail tulostaa sääntöjärjestyksen, jota packet-tracer noudatti, ja show crypto ipsec sa näyttää, onko odottamallesi parille valitsinta. Puuttuva SA on valitsimen tai vertaisen kokoonpanokysymys, ei jotain, mitä NAT-sääntö voi korjata.

Vahvista kukin haara sen palvelemalla liikenteellä

Hyväksy haara A asiakkaan tavallisella julkisella pyynnöllä ja haara B pyynnöllä yksityiseen resurssiin, joka todella on olemassa. Toista sitten kumpikin hylätyllä resurssilla, koska »sallittu« ja »käyttöoikeuskäytännön hyväksymä« eivät ole sama todiste, eikä keskuksesta alkava ping harjoita kumpaakaan asiakaspolkua.

Pidä kaksi testimerkintää erillään tiketissä: lähdeosoite, kohde, täsmännyt NAT-sääntö ja tulos. Kun seuraava raportti sanoo »VPN on rikki«, tuo pari kertoo sinulle minuutissa, kumpi haara heikkeni, ja vastaus on yleensä reitti tai valitsin eikä saman liittymän rivi, jota kaikki epäilevät ensin.