ASA hairpin: bealach amach chun an idirlín nó cos VPN idir suíomhanna?

Is féidir le beirt úsáideoirí rochtana cianda taobh thiar den ASA céanna trácht a sheoladh amach as an gcomhéadan seachtrach céanna agus cóireáil iomlán éagsúil a fháil. Tá duine acu ag dul chuig suíomh Gréasáin poiblí, mar sin teastaíonn aistriú foinse agus bealach idirlín ón bpacáid. Tá an duine eile ag dul chuig freastalaí taobh thiar de thollán idir suíomhanna a chríochnaíonn ar an gcomhéadan sin freisin, mar sin teastaíonn féiniúlacht, roghnóir tolláin mheaitseálach agus cosán fillte chuig an linn cliant ón bpacáid. Is réamhchoinníoll don dá cheann í an cheadú don chomhéadan céanna agus ní réiteach do cheachtar acu.

Dhá chos, comhéadan amháin

Socraigh cén chos atá á tógáil agat sula gclóscríobhann tú riail NAT, mar níl na rialacha idirmhalartach. Is í cos A cliant chuig idirlín: seoladh an linne isteach, seoladh poiblí aistrithe amach, ar ais tríd an gcomhéadan céanna. Is í cos B cliant chuig réimír phríobháideach ar an taobh thall de phiara IPsec eile: coimeádtar seoladh an linne, athchriptítear é agus seachadtar chuig piara a chaithfidh a bheith ar an eolas faoi conas freagra a thabhairt ar an linn.

Is é an rud a theastaíonn ón dá cheann ar dtús ná an cheadú don chomhéadan céanna. Gan é sin diúltaíonn an ASA pacáid a chur amach as an gcomhéadan ar ar tháinig sí, agus breathnaíonn an teip mar fhadhb ródaithe seachas mar fhadhb bheartais:

same-security-traffic permit intra-interface

Údaraíonn an líne amháin sin socrú cur chun cinn, mar a chuireann an tagairt NAT ASA síos air do chosáin tríd an gcomhéadan céanna. Ní chuireann sé bealach cliant leis, ní údaraíonn sé acmhainn, ní aistríonn sé seoladh agus ní idirbheartaíonn sé roghnóir IPsec, mar sin bí ag súil le trí nó ceithre rud eile a chur leis ina dhiaidh agus ná léigh a ghlacadh mar dhul chun cinn.

Cos A: teastaíonn an t-idirlíon ón gcliant

Le haghaidh bealach amach chun an idirlín caithfidh seoladh an linne stopadh de bheith príobháideach sula bhfágann an phacáid an gléas. I ngnáthdhearadh PAT aistríonn an riail an linn chuig seoladh an chomhéadain sheachtraigh, agus athchóiríonn an staid fhillte an sreabhadh i dtreo an chliaint:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Ansin deimhnigh gur iarr an cliant ar an ASA an trácht sin a iompar i ndáiríre. Seolann eisiamh tolláin scoilte an ceann scríbe poiblí trí nasc an ghutháin féin, nach sroicheann an ASA riamh, agus ní réitíonn aon riail NAT pacáid nár seoladh riamh. Cuir liosta tolláin scoilte an pholasaí ghrúpa i gcomparáid leis an gceann scríbe atá á thástáil agat.

Tá an chuid eile den chos gnáth: bealach réamhshocraithe nó sonrach is féidir a úsáid amach as an gcomhéadan seachtrach, beartas rochtana a cheadaíonn an sreabhadh, agus DNS á láimhseáil de réir an bheartais réititheora a roghnaigh tú. Cuir route-lookup anseo ar an gcúis chéanna thíos, ós rud é go bhfuil an comhéadan iontrála agus an comhéadan amach mar an gcéanna.

Cos B: teastaíonn suíomh príobháideach ón gcliant

Teipeann ar an gcos seo in áiteanna níos mó, mar sin scríobh é in ord. Ar dtús bealach an chliaint: caithfidh réimír an chinn scríbe a bheith ar an liosta tolláin scoilte, nó ní chuirfidh an cliant sa tollán é. Ar an dara dul síos roghnóir an tolláin: caithfidh ACL cripte idir suíomhanna seoladh an linne go dtí an réimír iargúlta a chlúdach, ní hamháin an LAN áitiúil go dtí an réimír iargúlta. Ar an tríú dul síos féiniúlacht, ionas nach n-aistreofaí seoladh an linne isteach san PAT idirlín ar an mbealach thar.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Is é an taobh iargúlta an chuid a ndéanann daoine dearmad a thástáil. Teastaíonn bealach ar ais chuig an linn ón bpiara agus roghnóir a chuimsíonn é, agus caithfidh a bheartas féin na seoltaí foinse a fheicfidh sé a cheadú. Má úsáidtear an suíomh trí radharc aistrithe ina ionad sin, is dearadh bailí é, ach ansin caithfidh an dá phiara, an dá roghnóir agus an dá thábla ródaithe teacht ar aontú faoi na seoltaí aistrithe.

Seiceáil ord na rialacha freisin. Aistreoidh riail PAT leathan os cionn na riail féiniúlachta an t-idirmhalartú príobháideach sula ndéanfar an riail féiniúlachta a mheas, agus is é an tsiomptóm tollán suímh gan SA mheaitseálach seachas earráid NAT.

An tástáil a insíonn duit cén chos a thóg tú

Úsáid meastóireacht chosáin an ASA féin in ionad an chumraíocht a léamh agus bheith ag súil. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed taispeánann sé cinneadh NAT, an bealach agus toradh an ACL do shreabhadh amháin; déan arís é le ceann scríbe príobháideach. Má athscríobhann an chéim NAT sreabhadh ó phríobháideach go príobháideach, thóg tú cos A do phacáid a raibh cos B uaithi.

Dúnann dhá ordú eile an bhearna. show nat detail priontálann sé ord na rialacha a lean packet-tracer, agus show crypto ipsec sa taispeánann sé an bhfuil roghnóir ann don phéire a bhfuil súil agat leis. Is ceist cumraíochta roghnóra nó piara é SA atá ar iarraidh, ní rud is féidir leis an riail NAT a shocrú.

Fíoraigh gach cos leis an trácht a fhreastalaíonn sí air

Glac le cos A le gnáthiarraidh phoiblí ón gcliant, agus glac le cos B le hiarratas ar acmhainn phríobháideach atá ann i ndáiríre. Ansin déan gach ceann arís le hacmhainn a diúltaíodh, mar ní hionann “ceadaithe” agus “formheasta ag an mbeartas rochtana” mar fhianaise, agus ní fheidhmíonn ping a eascraíonn ón mol ceachtar de chosáin an chliaint.

Coinnigh an dá thaifead tástála ar leithligh sa ticéad: seoladh foinse, ceann scríbe, an riail NAT a mheaitseáil, agus toradh. Nuair a déarfaidh an chéad tuarascáil eile “tá an VPN briste”, insíonn an péire sin duit laistigh de nóiméad cén chos a chuaigh siar, agus is gnách gurb é freagra ná bealach nó roghnóir seachas líne an chomhéadain chéanna a bhíonn faoi amhras ag gach duine ar dtús.