NAT féiniúlachta ASA i gcoinne eisiamh NAT IOS do thrácht VPN

Coinníonn brainse PAT idirlín agus VPN suíomh-go-suíomh ar an ngeata Cisco céanna, agus stopann an VPN ag obair an nóiméad a chuirtear NAT leis. Ní thagann na seoltaí taobh istigh den tollán le chéile a thuilleadh leis an méid a chosnaíonn an crypto ACL, nó feiceann an piaraí seoltaí aistrithe nach bhfuil aon bhealach aige chucu. Réitíonn Cisco é seo in dhá áit: roghnaíonn an ASA riail NAT a mhapálann seoladh air féin, agus coinníonn IOS an sreabhadh lasmuigh de riail aistrithe trí deny san ACL. Caomhnaíonn an dá cheann na seoltaí bunaidh, agus ní seachaint ar phróiseáil NAT ceachtar acu.

Taifead an sreabhadh sula roghnaíonn tú riail

Cuir tús trí bhreacadh síos ar an sreabhadh a bhfuil tú ag súil leis a chosaint: foinse an LAN, an ceann scríbe cianda agus an phéire seoladh beacht a chosnaíonn an polasaí IPsec. Déan é sin sula ndéanann tú riail a chur in eagar, mar léiríonn an tuple cén t-aicmitheoir nó cén riail NAT ar cheart a bheith meaitseáilte.

Ansin aimsigh an riail a mheaitseáil i ndáiríre, ní an ceann a bhí beartaithe agat. Ar an dá ardán déantar NAT a mheas in ord, agus féadann riail níos luaithe buachan sula ndéantar do eisceacht a scrúdú. Ní thugann eisceacht a bhféachann ceart ach a chailleann do riail eile an pacáiste a bhfuiltear ag súil leis don pholasaí cosanta riamh. Tá an siomptóm mar an gcéanna le heisceacht ar iarraidh, mar sin caithfear ord na rialacha a léamh sula n-athraítear an chumraíocht.

Is riail é NAT féiniúlachta ASA, ní seachaint

Ar an ASA, is riail NAT é NAT féiniúlachta a bhfuil a sheoladh aistrithe cothrom leis an mbunseoladh. Roghnaítear é mar aon riail eile agus suiteálann sé iontráil aistrithe fós, mar sin ní sheachnaíonn an pacáiste próiseáil NAT. Is é an rud a athraíonn ná go bhfanann na seoltaí ar an sreang mar a chéile, agus sin an rud a theastaíonn ón bpolasaí IPsec.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Caithfidh comhéadain na rialach agus a socrú route-lookup teacht leis an dearadh seolta. Ní roghnófar riail a mhapálann an seoladh i gceart ach a chuirtear i bhfeidhm ar an bpéire comhéadan mícheart do do shreabhadh. Cinneann route-lookup an ndéantar an pacáiste aistrithe a ródú nó an n-úsáidtear an ceann scríbe bunaidh, agus cinneann sé sin an dtagann an trácht fillte ar ais tríd an tollán.

Is cás ar leith é rochtain bhainistíochta ar an ASA féin. Má úsáideann tú NAT féiniúlachta do thrácht bainistíochta, tá feidhm ag an riachtanas route-lookup a bhaineann leis an eisiúint, agus ní dheiseoidh eisceacht leathan a cóipeáladh ó shampla VPN an SSH.

Ciallaíonn deny in ACL NAT IOS nach roghnaítear anseo é

Ar IOS, stiúrtar NAT idirlín le liosta foinse, agus is aicmitheoir é an ACL sin, ní scagaire. Roghnaíonn líne permit trácht le haistriú; ciallaíonn líne deny nach roghnaítear an pacáiste anseo. Ní ordú é an deny sin an pacáiste a chaitheamh amach mar a bheadh deny in ACL comhéadain.

Tá neamhroghnú anseo níos cúinge freisin ná gan aistriú in aon áit riamh. Féadann riail NAT eile, comhéadan eile nó route-map an sreabhadh a aistriú fós, mar sin caithfear an tábla NAT iomlán a léamh. Teastaíonn bealach ón bpacáiste freisin, crypto ACL a thagann leis, agus cead ag na teorainneacha rialaithe rochtana iarbhír.

Cuireann socrú IOS íosta an deny os cionn an permit sa liosta céanna agus díríonn sé an riail overload ar an liosta sin. Ansin cosnaíonn an crypto ACL an phéire céanna a eisiann an deny ó aistriú.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Ceist amháin is féidir a thástáil don dá mhúnla

Freagraíonn an dá mhúnla an cheist chéanna: cén riail a mheaitseáil an sreabhadh seo, agus cén seoltaí a d'fhág an comhéadan? Gabh ar an gcomhéadan seachtrach agus cuir an seoladh foinse i gcomparáid roimh an ngeata agus ina dhiaidh. Ansin seiceáil dearcadh an phiaraí ar an tollán, mar is féidir leis an SA a bheith suas agus an sreabhadh cosanta á aistriú in áit eile.

Ar an ASA taispeáin nat detail agus an tábla aistrithe; ar IOS taispeáin ip nat translations agus na contóirí ACL comhfhreagracha. Riail nach méadaíonn riamh níor roghnaíodh riamh í, agus cuireann sé sin in iúl ord, comhéadan nó treo seachas an chumraíocht crypto.

Cá dtéann an chumraíocht amú de ghnáth

Tá na teipeanna coitianta meicniúil. Tá an deny faoi bhun an permit agus ní mheaitseálann sé riamh. Cuirtear an t-aicmitheoir i bhfeidhm sa treo mícheart, mar sin aistrítear an sreabhadh fillte. Clúdaíonn an riail féiniúlachta na seoltaí cearta ach an péire comhéadan mícheart. Cosnaíonn an crypto ACL foirlíon nach dtagann a thuilleadh leis an méid a thaispeánann an riail NAT.

Taifead an péire seoladh bunaidh agus taispeánta taobh le húinéir na rialach, ionas go bhfeicfidh an t-innealtóir seo chugainn cén fáth a ndiúltaíonn aicmitheoir d'aistriú agus an balla dóiteáin ag ceadú an fheidhmchláir. Coinnigh é sa ticéad athraithe, ní i nóta pearsanta. Ansin athrith an sreabhadh tar éis aon athrú NAT, mar is cuid den chumraíocht é ord na rialacha fiú nuair nach n-athraíonn téacs na rialach. Ní cruthú é tollán a éiríonn suas go maireann na seoltaí; ní dhéanann ach an pacáiste gabhála agus dearcadh dí-chapsúlaithe an phiaraí é.