Identity NAT na ASA u odnosu na izuzetak NAT-a na IOS-u za VPN promet

Na Cisco gateway-ima i identity NAT na ASA i izuzetak NAT klasifikatora na IOS-u čuvaju VPN adrese. Pravila se razlikuju po tome gdje se prijevod preskače.

Podružnica drži internetski PAT i site-to-site VPN na istom Cisco gateway-u, a VPN prestaje raditi čim se doda NAT. Adrese unutar tunela više se ne podudaraju s onim što štiti crypto ACL, ili peer vidi prevedene adrese za koje nema rutu. Cisco to rješava na dva mjesta: ASA bira NAT pravilo koje adresu preslikava na nju samu, dok IOS drži tok izvan pravila prijevoda pomoću deny u ACL-u. Oba čuvaju izvorne adrese i nijedno nije zaobilaženje NAT obrade.

Zabilježite tok prije odabira pravila

Počnite tako da zapišete tok koji namjeravate štititi: izvornu LAN adresu, udaljeno odredište i točan par adresa koji štiti IPsec politika. Učinite to prije uređivanja pravila, jer taj skup pokazuje koji je klasifikator ili NAT pravilo trebalo odgovarati.

Zatim pronađite pravilo koje se stvarno podudarilo, a ne ono koje ste namjeravali. Na obje platforme NAT se ocjenjuje po redu i ranije pravilo može pobijediti prije nego što se vaš izuzetak razmotri. Izuzetak koji izgleda ispravno ali izgubi od drugog pravila nikada ne predaje očekivani paket politici zaštite. Simptom je isti kao kod nedostajućeg izuzetka, zato se red pravila mora pročitati prije promjene konfiguracije.

Identity NAT na ASA je pravilo, a ne zaobilaženje

Na ASA identity NAT je NAT pravilo čija je prevedena adresa jednaka izvornoj. Bira se kao i svako drugo pravilo i i dalje instalira zapis prijevoda, pa paket ne preskače NAT obradu. Mijenja se to da adrese na mreži ostaju iste, a upravo to IPsec politika treba.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Sučelja pravila i njegova route-lookup postavka moraju odgovarati dizajnu prosljeđivanja. Pravilo koje adresu preslikava ispravno ali se primjenjuje na pogrešan par sučelja neće biti odabrano za vaš tok. Route-lookup odlučuje hoće li prevedeni paket biti rutiran ili će se koristiti izvorno odredište, a to odlučuje vraća li se povratni promet kroz tunel.

Upravljački pristup samom ASA je poseban slučaj. Ako koristite identity NAT za upravljački promet, vrijedi zahtjev za route-lookup specifičan za verziju, a široki izuzetak kopiran iz VPN primjera neće popraviti SSH.

Deny u IOS NAT ACL-u znači da ovdje nije odabrano

Na IOS-u internetski NAT vodi popis izvora, a taj ACL je klasifikator, a ne filtar. Permit linija odabire promet za prijevod; deny linija znači da paket ovdje nije odabran. Taj deny nije naredba da se paket odbaci kao deny u ACL-u sučelja.

Ovdje nije odabrano uže je i od nigdje se ne prevodi. Drugo NAT pravilo, drugo sučelje ili route-map mogu ipak prevesti tok, pa se cijela NAT tablica mora pročitati. Paketu i dalje treba ruta, odgovarajući crypto ACL i dopuštenje na stvarnim granicama kontrole pristupa.

Minimalni IOS raspored stavlja deny iznad permita u isti popis i usmjerava overload pravilo na taj popis. Crypto ACL tada štiti isti par koji deny isključuje iz prijevoda.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Jedno provjerljivo pitanje za oba modela

Oba modela odgovaraju na isto pitanje: koje je pravilo pogodilo ovaj tok i koje su adrese napustile sučelje? Snimite na vanjskom sučelju i usporedite izvornu adresu prije i poslije gateway-a. Zatim provjerite kako peer vidi tunel, jer SA može biti podignut dok se zaštićeni tok prevodi negdje drugdje.

Na ASA prikažite nat detail i tablicu prijevoda; na IOS-u ip nat translations i odgovarajuće ACL brojače. Pravilo koje nikada ne raste nikada nije odabrano, a to upućuje na red, sučelje ili smjer, a ne na crypto konfiguraciju.

Gdje konfiguracija obično pogriješi

Uobičajeni kvarovi su mehanički. Deny stoji ispod permita i nikada se ne podudara. Klasifikator se primjenjuje u pogrešnom smjeru, pa se povratni tok prevodi. Identity pravilo pokriva ispravne adrese ali pogrešan par sučelja. Crypto ACL štiti podmrežu koja se više ne podudara s onim što NAT pravilo predstavlja.

Zapišite izvorni i predstavljeni par adresa uz vlasnika pravila, da sljedeći inženjer vidi zašto klasifikator odbija prijevod dok firewall dopušta aplikaciju. Držite to u ticketu za promjenu, ne u osobnoj bilješci. Zatim ponovno pustite tok nakon svake NAT promjene, jer je red pravila dio konfiguracije i kada je tekst pravila nepromijenjen. Tunel koji se podigne nije dokaz da su adrese preživjele; samo snimljeni paket i peer-ov pogled nakon dekapsulacije jesu.

Povezani članci