ASA VPN hairpin: twa tunels troch ien interface route

It ferkear fan in remote brûker kin itselde ASA-interface ferlitte dêr't it op oankaam, mar hairpin-tastimming, tunnelomfang, NAT en ACL's binne fjouwer aparte besluten.

In remote brûker ferbynt mei de ASA, freget om in host efter in filiaal, en de ASA stjoert dat fersyk út oer itselde interface dêr't de brûker op oankaam. Neat dêroan freget in twadde fysike poarte. Wat it wol freget, binne fjouwer ûnôfhinklike besluten dy't minsken graach ta ien gearfoegje: tastimming om te hairpinnen, in tunel dy't de krekte adressen beskermet, in NAT-belied dat de boarne behâldt dy't jo tasein hawwe, en in tagongsbelied dat de tsjinst autorisearret.

Ien pakket, twa tunels

Folgje de stream en de folchoarder fan operaasjes hâldt op geheimsinnich te wêzen. It pakket komt binnen de remote-access-tunel oan, wurdt ûntsifere en wurdt in gewoan IP-pakket mei de kliïntpool as boarne. Dan rûtet de ASA it, ferliket it mei de site-to-site crypto ACL, fersifere it op 'e nij en stjoert it oer it bûteninterface nei de filiaal.

De adressen hjirûnder binne yllustratyf, mar de foarm is wichtich: de boarne is de pool, net it ynterne LAN fan de ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Twa dingen folgje. De kliïnt hat in rûte nedich foar it filiaalfoarheaksel fia syn remote-access-ferbining, wat betsjut dat de split-tunnel of de ta stjoerde rûtelist it befetsje moat. En de filiaal moat witte hoe't er ferkear weromstjoert nei 10.77.0.20 of nei it adres dat jo NAT-ûntwerp ferfongen hat.

Hairpin-tastimming is globaal

It kommando dêr't minsken nei gripe, is same-security-traffic permit intra-interface. It lit ferkear itselde interface yn- en útgean, en dat is krekt wat dit paad nedich hat. It is ek in globale ynstelling: it ynskeakeljen feroaret it gedrach fan oare streams dy't tafallich itselde interface twa kear passearje.

Dêrom heart it yn in feroaringsrecord en net yn in debugsesje. Freegje wat oars op 'e doaze no in paad oer itselde interface nimme kin, en oft ien fan dy dingen dat dwaan moat. Op in drokke râne mei gastnetwurken of oerlappende partner-tunels is it antwurd net automatysk nee. Skriuw de reden njonken de ynstelling, want de folgjende yngenieur fynt it kommando en net it petear.

Beskermingsomfang en NAT binne apart

De site-to-site-tunel beskermet wat syn crypto ACL selektearret. As dy ACL it ynterne subnet fan 'e ASA as boarne neamt, is de remote-access-pool net beskerme en wurdt it pakket of weilitten of iepen ferstjoerd, ôfhinklik fan it gedrach fan it platfoarm foar net-matching ferkear. Foegje de pool ta oan 'e beskerme stream as it ûntwerp poeladressen behâldt.

Dan beslút NAT oft it poeladres oerlibbet. Identity NAT behâldt it, en de filiaal sjocht 10.77.0.20 as boarne. Oersetting feroaret it kontrakt: de filiaal stjoert ferkear no werom nei it oersette adres, en syn eigen belied moat dat akseptearje. Regeloarder beslút oft de crypto ACL foar of nei oersetting oerienkomt, dus lês de effektive stream ynstee fan te ferûnderstellen hokker wint.

Wiskje de algemiene internet-PAT-regels net om ien transitgefal wurkje te litten. In rjochte útsûndering of in bewuste identity-regel is makliker út te lizzen en werom te draaien as in gat yn it útgongbelied.

Fersifering is gjin autorisaasje

In wurkjende tunel bewiist allinnich dat twa peers it iens binne oer kaaien en selektors. Hy seit neat oer de fraach oft dizze brûker dy tsjinst berikke mei. It VPN-filter of it groepsbelied dat oan 'e remote-access-ferbining ferbûn is, moat noch altyd de filiaalbeneaming en de poarte tastean, en de interface-ACL op it bûtenpaad jildt noch hieltyd.

Test it antwurd yn beide rjochtingen. In ferbining dy't slagget wylst in oanbuorjende tsjinst mislearje moat, is ynformative as ien suksesfolle ping, want it lit sjen dat it belied selektyf is en net wid iepen. As de test dy't wegere wurde moat slagget, is de tunel net de skuldige; it belied is dat. Hâld beide resultaten yn it feroaringsrecord sadat de folgjende persoan wit hokker gedrach bedoeld wie.

Hairpin of in twadde interface

Hairpin-transit hâldt it ûntwerp lyts en kostet ien globale ynstelling. In apart interface, of in rûtebasearre tunel mei syn eigen firtuele interface, isolearret it transitpaad en jout jo belied per interface, tsjin de priis fan adressearring en noch in crypto map of profyl. Gjin fan beide is krekter; se mislearje oars.

Rûtebasearre ûntwerpen binne in oare opbou, net in oanfinkfakje yn deselde konfiguraasje. As jo oerstappe nei ien, hâldt de diskusje hjirboppe oer beliedsbasearre crypto ACL op jildich te wêzen en begjint de rûtingstabel it seleksjewurk te dwaan.

Ferifiearje fan 'e echte kliïnt

In probe dy't fan 'e ASA ôf start, hat in oar boarne-adres en sil it paad fan pool nei filiaal net oefenje. Brûk packet-tracer om de fiif-tuple te kontrolearjen, en iepenje dan in echte ferbining fan 'e werklike remote kliïnt, want de tracer simulearret en ferfangt it eigen rûting en belied fan 'e kliïnt net.

Meitsje nei in plande feroaring ferbining mei in tsjinst dy't wurkje moat, dan mei ien dy't wegere wurde moat, en befestigje dan de weromrûte fan 'e filiaal. De foarbylden fan Cisco oer VPN hairpin NAT hâlde intra-interface-tastimming, NAT en ACL's sichtber apart, en dat is it mentale model dat de muoite wurdich is om te kopiearjen.

Relatearre artikelen