ASA VPN hairpin: kahden tunnelin reititys yhden liitännän kautta

Etäkäyttäjän liikenne voi poistua samasta ASA-liitännästä, johon se saapui, mutta hairpin-lupa, tunnelin laajuus, NAT ja ACL:t ovat neljä erillistä päätöstä.

Etäkäyttäjä yhdistää ASA:an, pyytää isäntää haaran takaa, ja ASA lähettää pyynnön ulos täsmälleen siitä liitännästä, johon käyttäjä saapui. Mikään tässä ei vaadi toista fyysistä porttia. Sen sijaan se vaatii neljä riippumatonta päätöstä, jotka ihmiset usein yhdistävät yhdeksi: lupa hairpiniin, tunneli joka suojaa oikeat osoitteet, NAT-käytäntö joka säilyttää lupaamasi lähteen ja käyttöoikeuskäytäntö joka valtuuttaa palvelun.

Yksi paketti, kaksi tunnelia

Seuraa virtaa, niin toimintojen järjestys lakkaa olemasta arvoituksellinen. Paketti saapuu etäkäyttötunnelin sisään, puretaan salauksesta ja muuttuu tavalliseksi IP-paketiksi, jonka lähde on asiakaspoolista. Sen jälkeen ASA reitittää sen, sovittaa sen sivusto-sivusto-crypto-ACL:ään, salaa sen uudelleen ja lähettää sen ulkoliitännästä haaraa kohti.

Alla olevat osoitteet ovat havainnollistavia, mutta muoto on tärkeä: lähde on pooli, ei ASA:n sisäinen LAN.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Tästä seuraa kaksi asiaa. Asiakas tarvitsee reitin haaran etuliitteelle etäkäyttöyhteytensä kautta, eli split-tunnelin tai työnnetyn reittiluettelon on sisällettävä se. Ja haaran on tiedettävä, miten liikenne palautetaan osoitteeseen 10.77.0.20 tai siihen osoitteeseen, jonka NAT-suunnitelmasi korvasi.

Hairpin-lupa on globaali

Komento, johon ihmiset tarttuvat, on same-security-traffic permit intra-interface. Se sallii liikenteen saapua ja poistua samasta liitännästä, mikä on juuri se, mitä tämä polku tarvitsee. Se on myös globaali asetus: sen käyttöönotto muuttaa muiden virtausten käyttäytymistä, jotka sattuvat kulkemaan saman liitännän kautta kahdesti.

Siksi se kuuluu muutoskirjaukseen eikä vianetsintäistuntoon. Kysy, mikä muu laitteessa voisi nyt kulkea saman liitännän polkua, ja pitäisikö minkään. Vilkkaalla reunalla, jossa on vierasverkkoja tai päällekkäisiä kumppanitunneleita, vastaus ei ole automaattisesti ei. Kirjoita syy asetuksen viereen, koska seuraava insinööri löytää komennon, ei keskustelua.

Suojauksen laajuus ja NAT ovat erillisiä

Sivusto-sivusto-tunneli suojaa sen, minkä sen crypto-ACL valitsee. Jos ACL nimeää lähteeksi ASA:n sisäisen aliverkon, etäkäyttöpooli ei ole suojattu ja paketti joko pudotetaan tai lähetetään selvänä, riippuen alustan käyttäytymisestä ei-vastaavan liikenteen kohdalla. Lisää pooli suojattuun virtaukseen, kun suunnitelma säilyttää poolin osoitteet.

Sitten NAT päättää, jääkö poolin osoite eloon. Identity NAT säilyttää sen, ja haara näkee osoitteen 10.77.0.20 lähteenä. Käännös muuttaa sopimusta: haara palauttaa nyt liikenteen käännettyyn osoitteeseen, ja sen oman käytännön on hyväksyttävä se. Sääntöjen järjestys ratkaisee, täsmääkö crypto-ACL ennen käännöstä vai sen jälkeen, joten lue tosiasiallinen virtaus sen sijaan että olettaisit kumman voitto.

Älä poista yleisiä internetin PAT-sääntöjä, jotta yksi läpikulkutapaus toimisi. Kohdennettu poikkeus tai tarkoituksellinen identity-sääntö on helpompi selittää ja perua kuin reikä lähtevässä käytännössä.

Salaus ei ole valtuutus

Toimiva tunneli todistaa vain, että kaksi osapuolta sopivat avaimista ja valitsimista. Se ei kerro mitään siitä, saako tämä käyttäjä saavuttaa kyseisen palvelun. Etäkäyttöyhteyteen liitetyn VPN-suodattimen tai ryhmäkäytännön on edelleen sallittava haaran kohde ja portti, ja ulkopolun liitäntä-ACL on edelleen voimassa.

Testaa vastaus molempiin suuntiin. Yhteys, joka onnistuu vaikka naapuripalvelun pitäisi epäonnistua, on informatiivisempi kuin yksi onnistunut ping, koska se osoittaa käytännön olevan valikoiva eikä apposen auki. Jos kielletty testi onnistuu, syyllinen ei ole tunneli vaan käytäntö. Tallenna molemmat tulokset muutoskirjaukseen, jotta seuraava henkilö tietää, mitä käyttäytymistä tarkoitettiin.

Hairpin vai toinen liitäntä

Hairpin-läpikulku pitää suunnitelman pienenä ja maksaa yhden globaalin asetuksen. Erillinen liitäntä tai reittipohjainen tunneli omalla virtuaaliliitännällään eristää läpikulkupolun ja antaa liitäntäkohtaisen käytännön, mutta vaatii osoitteistuksen ja vielä yhden crypto mapin tai profiilin. Kumpikaan ei ole oikeampi; ne epäonnistuvat eri tavoin.

Reittipohjaiset suunnitelmat ovat eri järjestely, eivät valintaruutu samassa kokoonpanossa. Jos siirryt sellaiseen, yllä oleva käytäntöpohjaisen crypto-ACL:n keskustelu lakkaa pätenemästä ja reititystaulu alkaa tehdä valintatyön.

Vahvista todelliselta asiakkaalta

ASA:sta käynnistetty kokeilu on eri lähdeosoitteella eikä käy läpi poolin ja haaran välistä polkua. Käytä packet-tracer viisikon tarkistamiseen ja avaa sitten todellinen yhteys varsinaisesta etäasiakkaasta, koska jäljitin simuloi eikä korvaa asiakkaan omaa reititystä ja käytäntöä.

Yhdistä suunnitellun muutoksen jälkeen palveluun, jonka pitäisi toimia, sitten sellaiseen, joka pitäisi hylätä, ja vahvista lopuksi haaran paluureitti. Ciscon VPN hairpin NAT -esimerkit pitävät intra-interface-luvat, NAT:n ja ACL:t näkyvästi erillään, ja se on kopioimisen arvoinen ajatusmalli.

Aiheeseen liittyvät artikkelit