Ní chuireann tollán scoilte ó mhaith ó rialacha NAT an ASA

Cuirtear tollán scoilte síos go hiondúil mar bhealach chun trácht corparáideach a choinneáil laistigh den tollán agus an chuid eile den idirlíon lasmuigh den bhalla dóiteáin. Tá an dá leath den tuairisc sin mícheart ar an mbealach céanna. Is cinneadh ród é tollán scoilte a dhéanann an cliant, agus ní deir cinneadh ród aon rud faoi cad a tharlaíonn don phaicéad tar éis dó an headend a bhaint amach.

Is leor aon tseirbhís comhpháirtí ar sheoladh poiblí, a éilíonn go bhfeicfeadh sí seoladh do cheanncheathrúin, chun an scéal a bhriseadh.

An miotas: baineann tollán scoilte an balla dóiteáin as an mbealach

Is é an creideamh ná go bhfanann aon cheann scríbe lasmuigh de na raonta príobháideacha ar an gceangal idirlín áitiúil, mar sin ní fheiceann an balla dóiteáin riamh é agus ní theastaíonn riail uaidh riamh. Níl sé sin fíor ach amháin fad a bhíonn an ceann scríbe as an liosta tolláin. An nóiméad a chuireann oibreoir óstach poiblí leis an ACL split-include, seolann an cliant an trácht sin isteach sa tollán, agus caithfidh an ASA é a ródú, a scagadh agus a aistriú ar nós aon sreabh dhíchriptithe eile. Níor athraigh aon rud ar an gcliant seachas liosta na gceann scríbe.

Níor tháinig ródaí de chliant. Lean sé an pholasaí a thug tú dó.

Cad a dhéanann bealach split-include i ndáiríre

I socrú rochtana cianda Cisco ASA, iompraíonn an pholasaí grúpa split-tunnel-policy tunnelspecified agus split-tunnel-network-list a ainmníonn ACL caighdeánach. Is é gach líne permit san ACL sin ceann scríbe ar cheart don chliant a sheoladh isteach sa tollán, agus leanann gach rud eile ag baint úsáide as an ród réamhshocraithe áitiúil.

Is é líne amháin atá i gcur óstaigh amháin leis, agus sin an t-aon chuid den athrú a fheiceann an cliant: access-list RA-SPLIT standard permit host 203.0.113.20.

Athcheangail an cliant ina dhiaidh sin. Déantar an pholasaí a mhalartú ag am an cheangail, mar sin coinníonn seisiún bunaithe an seancheann agus déanann sé cuma ar an athrú nár dhein sé faic.

Tagann an paicéad agus téann sé amach ar an gcomhéadan céanna

Lean an sreabhadh anois tar éis díchriptithe. Tháinig an paicéad isteach ar an gcomhéadan seachtrach tríd an tollán VPN, is seoladh poiblí é a cheann scríbe, agus seolann an tábla ródú amach arís é tríd an gcomhéadan seachtrach céanna i dtreo an idirlín. Déantar trácht a thagann isteach agus a théann amach ar chomhéadan amháin a scaoileadh mura gceadaítear don ASA é, agus sin a dhéanann same-security-traffic permit intra-interface. Gan é, teipeann an ceangal ar bhealach a fhéachann cosúil le fadhb ródaithe agus nach ea.

Tá an socrú sin domhanda. Ceadaíonn sé hairpinning do gach sreabhadh a dteastaíonn sé uaidh, ní hamháin don óstach comhpháirtí seo, mar sin baineann sé le hathrú athbhreithnithe seachas le tástáil ghasta.

Cén fáth nach roghnach é PAT atá teoranta don cheann scríbe

Is é seoladh foinse an phaicéid dhíchriptithe fós seoladh VPN an chliaint, go hiondúil ó pholl mar 10.77.0.0/24. Níl aon ród ag an seoladh sin ar an idirlíon poiblí, mar sin ní fhreagraíonn an comhpháirtí riamh nó freagraíonn sé i ngan fhios.

Ceartaíonn an aistriúchán an fhoinse agus fágtar an ceann scríbe slán. Ós rud é go bhfuil na rudaí sainithe cheana féin in áit eile, tá an fhoirm seo ar riail láimhe atá teoranta don cheann scríbe seo:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

Tá an chuid destination static tábhachtach. Má fhágtar ar lár é, iompaíonn an riail ina haistriúchán leathan a d’fhéadfadh teacht le mórán níos mó tráchta ná mar a bhí beartaithe, agus is féidir le riail identity leathan níos luaithe san ord an ceann seo a shárú go hiomlán. Seiceáil show nat detail agus ord na rannóg sula meas tú gurb é do riail an ceann a thagann leis.

Ciallaíonn PAT comhéadain freisin go bhfeiceann an comhpháirtí seoladh comhéadan an ASA, a d’fhéadfaí a aistriú arís níos faide suas. Má ainmníonn an conradh seoladh, dearbhaigh é ó cheann go ceann seachas ag aon léim amháin.

Cruthaigh é leis an gceann scríbe tástála ceart

Úsáid óstach an chomhpháirtí féin, ní leathanach ginearálta what-is-my-ip. Tá an leathanach sin lasmuigh den liosta scoilte beagnach cinnte, mar sin tuairiscíonn sé do sheoladh idirlín áitiúil agus ní deir sé faic faoin mbealach seo. Oscail ceangal nua chuig seirbhís an chomhpháirtí agus fiafraigh díobh cén fhoinse a chonaic siad, nó rith packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed agus léigh na céimeanna NAT agus ródaithe líne ar líne. Is seiceáladh níos laige é traceroute ón gcliant, mar go dtaispeánann sé an bealach a tharla cheana féin seachas an pholasaí a roghnaigh é.

Ansin seiceáil cad nár cheart a athrú. Caithfidh suíomh gréasáin nóisiúnta teacht amach ón gceangal áitiúil fós, agus caithfidh acmhainn phríobháideach sa liosta tolláin a bheith inrochtana fós. Is fabht eile é athrú a réitíonn an comhpháirtí agus a bhriseann ceachtar den dá rud sin.

Tá an leagan oibre den dearadh seo gearr: óstach amháin san ACL scoilte, cead hairpin, riail PAT amháin atá teoranta don cheann scríbe. Is é an miotas gach rud eile sa scéal.