ASA VPN hairpin: dhá thollán a ródú trí aon chomhéadan amháin

Nascann úsáideoir cianda leis an ASA, iarrann sé óstach taobh thiar de bhrainse, agus seolann an ASA an t-iarratas sin amach tríd an gcomhéadan céanna ar a dtáinig an t-úsáideoir isteach. Ní gá dara port fisiceach ar bith chuige sin. Is gá, áfach, ceithre chinneadh neamhspleácha a mbíonn claonadh ag daoine iad a chónascadh ina n-aon: cead chun hairpin, tollán a chosnaíonn na seoltaí cearta, beartas NAT a choimeádann an fhoinse a gheall tú, agus beartas rochtana a údaraítear an tseirbhís leis.

Aon phaicéad, dhá thollán

Lean an tsreabhadh agus stopann ord na n-oibríochtaí de bheith mistéireach. Sroicheann an paicéad istigh sa tollán rochtana cianda, déantar é a dhíchriptiú agus éiríonn sé ina ghnáthphaicéad IP a bhfuil a fhoinse as an linn cliant. Ansin déanann an ASA é a ródú, déanann sé é a mheaitseáil leis an crypto ACL ó shuíomh go suíomh, criptíonn sé arís é agus seolann sé amach tríd an gcomhéadan seachtrach i dtreo an bhrainse.

Tá na seoltaí thíos mar léiriú, ach tá an chruth tábhachtach: is í an linn an fhoinse, ní LAN inmheánach an ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Leanann dhá rud as seo. Teastaíonn ród ón gcliant don réimír bhrainse trína nasc rochtana cianda, rud a chiallaíonn go gcaithfidh an split-tunnel nó an liosta ród brúite é a áireamh. Agus caithfidh an brainse a bheith ar an eolas faoi conas trácht a thabhairt ar ais chuig 10.77.0.20 nó chuig cibé seoladh a chuir do dhearadh NAT ina ionad.

Tá cead hairpin go domhanda

Is é an t-ordú a mbíonn daoine ag tarraingt air ná same-security-traffic permit intra-interface. Ligeann sé do thrácht dul isteach agus amach tríd an gcomhéadan céanna, arb é go beacht a theastaíonn ón gcosán seo. Is socrú domhanda é freisin: athraíonn a chumasú iompar sruthanna eile a tharlaíonn chun an comhéadan céanna a thrasnú faoi dhó.

Sin é an fáth go mbaineann sé le taifead athraithe seachas le seisiún dífhabhtaithe. Fiafraigh cad eile ar an mbosca a d'fhéadfadh cosán comhéadain chéanna a ghlacadh anois, agus ar cheart d'aon rud é sin a dhéanamh. Ar imeall gnóthach le líonraí aíochta nó le tolláin chomhpháirtithe a fhorluíonn, ní hé an freagra ná ní go huathoibríoch. Scríobh an chúis in aice leis an socrú, mar gheall go bhfaighidh an chéad innealtóir eile an t-ordú agus ní an comhrá.

Tá scóip na cosanta agus NAT ar leith

Cosnaíonn an tollán suímh go suímh cibé rud a roghnaíonn a crypto ACL. Má ainmnítear fo-líonra inmheánach an ASA mar fhoinse sa ACL sin, níl an linn rochtana cianda cosanta agus déanfar an paicéad a ligean thar nó a sheoladh go soiléir, ag brath ar iompar an ardáin i leith tráchta nach meaitseálann. Cuir an linn leis an sruth cosanta nuair a chaomhnaíonn an dearadh seoltaí na linne.

Ansin socraíonn NAT an maireann seoladh na linne. Coimeádann Identity NAT é, agus feiceann an brainse 10.77.0.20 mar fhoinse. Athraíonn aistriú an conradh: tugann an brainse trácht ar ais chuig an seoladh aistrithe anois, agus caithfidh a bheartas féin glacadh leis. Socraíonn ord na rialacha an meaitseálann an crypto ACL roimh an aistriú nó ina dhiaidh, mar sin léigh an sruth éifeachtach seachas glacadh leis cé a bhuaigh.

Ná scrios na rialacha ginearálta PAT idirlín chun go n-oibreodh aon chás idirthurais amháin. Tá díolúine spriocdhírithe nó riail aitheantais d'aon ghnó níos éasca le míniú agus le cur ar ais ná poll sa bheartas amach.

Ní údarú é criptiú

Ní chruthaíonn tollán oibre ach go n-aontaíonn beirt phiaraí faoi eochracha agus faoi roghnóirí. Ní deir sé aon rud faoi cé acu an féidir leis an úsáideoir seo an tseirbhís sin a shroichint. Caithfidh an scagaire VPN nó an beartas grúpa atá ceangailte leis an nasc rochtana cianda ceann scríbe agus port an bhrainse a cheadú fós, agus tá feidhm ag ACL an chomhéadain ar an gcosán seachtrach i gcónaí.

Tástáil an freagra sa dá threo. Tá nasc a n-éiríonn leis agus ar cheart do sheirbhís chomharsanachta teip, níos faisnéisí ná aon phing amháin a n-éiríonn leis, mar go dtaispeánann sé go bhfuil an beartas roghnach seachas ar oscailt go leathan. Má éiríonn leis an tástáil ar cheart diúltú di, ní hé an tollán atá ciontach; is é an beartas. Coinnigh an dá thoradh sa taifead athraithe ionas go mbeidh a fhios ag an gcéad duine eile cén t-iompar a bhí beartaithe.

Hairpin nó dara comhéadan

Coimeádann idirthuras hairpin an dearadh beag agus cosnaíonn sé aon socrú domhanda amháin. Déanann comhéadan ar leith, nó tollán bunaithe ar ródú lena chomhéadan fíorúil féin, an cosán idirthurais a leithlisiú agus tugann sé beartas in aghaidh an chomhéadain duit, ar chostas seolacháin agus crypto map nó próifíl eile. Níl ceachtar acu níos ceart; teipeann orthu ar bhealaí difriúla.

Is socrú difriúil iad dearaí bunaithe ar ródú, ní aon ticbhosca ar an gcumraíocht chéanna. Má aistríonn tú chuig ceann acu, stopann an plé thuas ar crypto ACL bunaithe ar bheartas de bheith infheidhme agus tosaíonn an tábla ródaithe ag déanamh na hoibre roghnúcháin.

Fíoraigh ón bhfíorchliant

Tá seoladh foinse difriúil ag probe a thosaítear ón ASA agus ní fheidhmeoidh sé an cosán ón linn go dtí an brainse. Úsáid packet-tracer chun an cúigréad a sheiceáil, ansin oscail fíornasc ón bhfíor-chliant cianda, mar go ndéanann an rianaitheoir insamhladh agus ní ghabhann sé ionad ródaithe agus beartas an chliaint féin.

Tar éis athraithe pleanáilte, ceangail le seirbhís ar cheart di oibriú, ansin le ceann ar cheart diúltú di, agus ansin deimhnigh ród fillte an bhrainse. Coimeádann samplaí NAT hairpin VPN de chuid Cisco cead intra-interface, NAT agus ACLanna ar leith go feiceálach, agus sin an tsamhail mheabhrach is fiú a chóipeáil.