સ્પ્લિટ ટનલ જાહેર હોસ્ટને ASA ના NAT નિયમોમાંથી મુક્ત કરતું નથી

સ્પ્લિટ ટનલિંગને સામાન્ય રીતે કોર્પોરેટ ટ્રાફિક ટનલની અંદર અને બાકીનું ઇન્ટરનેટ ફાયરવોલની બહાર રાખવાની રીત તરીકે વર્ણવવામાં આવે છે. તે વર્ણનના બંને ભાગ એ જ રીતે ખોટા છે. સ્પ્લિટ ટનલિંગ એ ક્લાયન્ટ લે છે તે રૂટ નિર્ણય છે, અને રૂટ નિર્ણય પેકેટ હેડએન્ડ પર પહોંચ્યા પછી તેનું શું થાય તે વિશે કંઈ કહેતું નથી.

જાહેર સરનામા પરની એક ભાગીદાર સેવા, જે તમારા મુખ્યાલયનું સરનામું જોવા માટે આગ્રહ રાખે છે, તે આ વાર્તા તોડવા માટે પૂરતી છે.

દંતકથા: સ્પ્લિટ ટનલ ફાયરવોલને માર્ગમાંથી દૂર કરે છે

માન્યતા એ છે કે ખાનગી શ્રેણીઓની બહારનું કોઈપણ લક્ષ્ય સ્થાનિક ઇન્ટરનેટ કનેક્શન પર જ રહે છે, તેથી ફાયરવોલ તેને ક્યારેય જોતું નથી અને તેના માટે ક્યારેય નિયમની જરૂર પડતી નથી. તે ત્યારે જ સાચું છે જ્યારે લક્ષ્ય ટનલ યાદીમાં ન હોય. જે ક્ષણે ઓપરેટર split-include ACL માં જાહેર હોસ્ટ ઉમેરે છે, ક્લાયન્ટ તે ટ્રાફિક ટનલમાં મોકલે છે, અને ASA એ તેને અન્ય કોઈપણ ડિક્રિપ્ટ થયેલા ફ્લોની જેમ રૂટ, ફિલ્ટર અને ભાષાંતર કરવું પડે છે. ક્લાયન્ટ પર લક્ષ્ય યાદી સિવાય કંઈ બદલાયું નથી.

ક્લાયન્ટ રાઉટર બન્યો નથી. તેણે તમે આપેલી નીતિ અનુસરી છે.

split-include રૂટ ખરેખર શું કરે છે

Cisco ASA રિમોટ-એક્સેસ સેટઅપમાં જૂથ નીતિ split-tunnel-policy tunnelspecified અને એક split-tunnel-network-list ધરાવે છે, જે પ્રમાણભૂત ACL નું નામ આપે છે. તે ACL માંની દરેક permit લાઇન એ લક્ષ્ય છે જે ક્લાયન્ટે ટનલમાં મોકલવું જોઈએ, અને બાકીનું બધું સ્થાનિક ડિફોલ્ટ રૂટ વાપરવાનું ચાલુ રાખે છે.

એક હોસ્ટ ઉમેરવો એ એક જ લાઇન છે, અને તે ફેરફારનો એકમાત્ર ભાગ છે જે ક્લાયન્ટ જોઈ શકે છે: access-list RA-SPLIT standard permit host 203.0.113.20.

પછી ક્લાયન્ટને ફરીથી કનેક્ટ કરો. નીતિ કનેક્શન સમયે બદલાય છે, તેથી સ્થાપિત સેશન જૂની યાદી રાખે છે અને ફેરફારને એવું બનાવે છે જાણે તેણે કંઈ કર્યું ન હોય.

પેકેટ એ જ ઇન્ટરફેસ પર આવે અને જાય છે

હવે ડિક્રિપ્શન પછીનો ફ્લો ટ્રેસ કરો. પેકેટ VPN ટનલ દ્વારા બહારના ઇન્ટરફેસ પર આવ્યું, તેનું લક્ષ્ય જાહેર સરનામું છે, અને રૂટિંગ કોષ્ટક તેને એ જ બહારના ઇન્ટરફેસ દ્વારા ફરી ઇન્ટરનેટ તરફ મોકલે છે. એક ઇન્ટરફેસ પર આવીને નીકળતો ટ્રાફિક કાઢી નાખવામાં આવે છે સિવાય કે ASA ને તેની પરવાનગી આપવામાં આવે, અને same-security-traffic permit intra-interface એ જ કરે છે. તેના વિના કનેક્શન એવી રીતે નિષ્ફળ જાય છે જે રૂટિંગ સમસ્યા જેવું લાગે છે અને છે નહીં.

તે સેટિંગ વૈશ્વિક છે. તે દરેક જરૂરી ફ્લો માટે હેરપિનિંગની પરવાનગી આપે છે, ફક્ત આ ભાગીદાર હોસ્ટ માટે નહીં, તેથી તે ઝડપી પરીક્ષણને બદલે સમીક્ષિત ફેરફારમાં આવવું જોઈએ.

લક્ષ્ય-મર્યાદિત PAT શા માટે વૈકલ્પિક નથી

ડિક્રિપ્ટ થયેલા પેકેટનું સ્રોત સરનામું હજી પણ ક્લાયન્ટનું VPN સરનામું છે, સામાન્ય રીતે 10.77.0.0/24 જેવા પૂલમાંથી. તે સરનામાનો જાહેર ઇન્ટરનેટ પર કોઈ રૂટ નથી, તેથી ભાગીદાર ક્યારેય જવાબ આપતું નથી અથવા ક્યાંય જવાબ આપતું નથી.

ભાષાંતર સ્રોતને સુધારે છે અને લક્ષ્યને અસ્પૃશ્ય રાખે છે. ઑબ્જેક્ટ પહેલેથી બીજે જગ્યાએ વ્યાખ્યાયિત હોવાથી, આ લક્ષ્ય સુધી મર્યાદિત મેન્યુઅલ નિયમ આ સ્વરૂપ ધરાવે છે:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

destination static ભાગ મહત્વપૂર્ણ છે. તેને છોડી દો તો નિયમ વિશાળ ભાષાંતર બની જાય છે જે ઇરાદાથી ઘણા વધુ ટ્રાફિક સાથે મેળ ખાઈ શકે છે, અને ક્રમમાં પહેલેથી રહેલો વિશાળ identity નિયમ આને સંપૂર્ણપણે હરાવી શકે છે. તમારો નિયમ જ મેળ ખાતો હોવાનું ધારવા પહેલાં show nat detail અને વિભાગોનો ક્રમ તપાસો.

ઇન્ટરફેસ PAT નો અર્થ એ પણ છે કે ભાગીદાર ASA નું ઇન્ટરફેસ સરનામું જુએ છે, જે ઉપરના પ્રવાહમાં ફરી ભાષાંતરિત થઈ શકે છે. જો કરાર સરનામું નામ આપે છે, તો તેને એક હોપ પર નહીં પણ શરૂઆતથી અંત સુધી ખાતરી કરો.

યોગ્ય પરીક્ષણ લક્ષ્ય સાથે તેને સાબિત કરો

સામાન્ય what-is-my-ip પૃષ્ઠ નહીં, ભાગીદાર હોસ્ટનો જ ઉપયોગ કરો. તે પૃષ્ઠ લગભગ ચોક્કસપણે split યાદીની બહાર છે, તેથી તે તમારું સ્થાનિક ઇન્ટરનેટ સરનામું જણાવે છે અને આ માર્ગ વિશે કંઈ કહેતું નથી. ભાગીદાર સેવા સાથે નવું કનેક્શન ખોલો અને તેમને પૂછો કે તેમણે કયો સ્રોત જોયો, અથવા packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed ચલાવો અને NAT તથા રૂટિંગના તબક્કા લાઇન દ્વારા લાઇન વાંચો. ક્લાયન્ટથી traceroute નબળી ચકાસણી છે, કારણ કે તે પહેલેથી બનેલો માર્ગ બતાવે છે, તેને પસંદ કરનારી નીતિ નહીં.

પછી ચકાસો કે શું બદલાવું ન જોઈએ. સામાન્ય વેબસાઇટે હજી પણ સ્થાનિક કનેક્શનથી બહાર જવું જોઈએ, અને ટનલ યાદીમાંનું ખાનગી સંસાધન હજી પણ પહોંચી શકાય તેવું હોવું જોઈએ. ભાગીદારને ઠીક કરીને આ બેમાંથી એકને તોડતો ફેરફાર બીજી ભૂલ છે.

આ ડિઝાઇનનું કામ કરતું સંસ્કરણ ટૂંકું છે: split ACL માં એક હોસ્ટ, હેરપિન પરવાનગી, લક્ષ્ય-મર્યાદિત એક PAT નિયમ. વાર્તામાં બાકીનું બધું દંતકથા છે.