ASA VPN hairpin: usmjeravanje dvaju tunela kroz jedno sučelje

Udaljeni korisnik spaja se na ASA, traži host iza podružnice, a ASA šalje taj zahtjev kroz isto sučelje na koje je korisnik stigao. Ništa od toga ne zahtijeva drugi fizički port. Ono što zahtijeva jesu četiri neovisne odluke koje ljudi obično stapaju u jednu: dopuštenje za hairpin, tunel koji štiti prave adrese, NAT pravilo koje čuva izvor koji ste obećali i pristupna politika koja odobrava uslugu.

Jedan paket, dva tunela

Pratite tok i redoslijed radnji prestaje biti tajanstven. Paket dolazi unutar tunela udaljenog pristupa, dešifrira se i postaje običan IP paket s izvorom iz klijentskog skupa. ASA ga zatim usmjerava, uspoređuje s crypto ACL-om od lokacije do lokacije, ponovno šifrira i šalje kroz vanjsko sučelje prema podružnici.

Adrese u nastavku su ilustrativne, ali oblik je važan: izvor je skup, a ne ASA-ina unutarnja LAN mreža.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Iz toga slijede dvije stvari. Klijent treba rutu za prefiks podružnice kroz svoju vezu udaljenog pristupa, što znači da split-tunnel ili popis guranih ruta mora ga sadržavati. A podružnica mora znati kako vratiti promet na 10.77.0.20 ili na adresu koju je zamijenio vaš NAT dizajn.

Dopuštenje za hairpin je globalno

Naredba kojoj ljudi posežu je same-security-traffic permit intra-interface. Ona dopušta prometu da uđe i izađe kroz isto sučelje, što je točno ono što ovaj put treba. To je i globalna postavka: njezino uključivanje mijenja ponašanje drugih tokova koji slučajno dvaput prolaze kroz isto sučelje.

Zato ona pripada u zapis o promjeni, a ne u sesiju otklanjanja pogrešaka. Pitajte što još na uređaju sada može ići putem istog sučelja i treba li to. Na prometnom rubu s gostujućim mrežama ili preklapajućim partnerskim tunelima odgovor nije automatski ne. Zapišite razlog uz postavku jer će sljedeći inženjer naći naredbu, a ne razgovor.

Opseg zaštite i NAT su odvojeni

Tunel od lokacije do lokacije štiti ono što odabere njegov crypto ACL. Ako taj ACL navodi ASA-inu unutarnju podmrežu kao izvor, skup udaljenog pristupa nije zaštićen i paket će ili biti odbačen ili poslan u čistom obliku, ovisno o ponašanju platforme prema neusklađenom prometu. Dodajte skup u zaštićeni tok kada dizajn čuva adrese skupa.

NAT zatim odlučuje hoće li adresa skupa preživjeti. Identity NAT ju čuva i podružnica vidi 10.77.0.20 kao izvor. Prijevod mijenja ugovor: podružnica sada vraća promet na prevedenu adresu i njezina vlastita politika to mora prihvatiti. Redoslijed pravila odlučuje uspoređuje li se crypto ACL prije ili poslije prijevoda, pa čitajte stvarni tok umjesto da pretpostavljate koje pravilo pobjeđuje.

Ne brišite opća internet PAT pravila da bi jedan tranzitni slučaj proradio. Ciljano izuzeće ili namjerno identity pravilo lakše je objasniti i poništiti od rupe u izlaznoj politici.

Šifriranje nije autorizacija

Tunel koji radi dokazuje samo da se dva partnera slažu o ključevima i selektorima. Ništa ne govori o tome smije li ovaj korisnik dosegnuti tu uslugu. VPN filtar ili grupna politika vezana uz vezu udaljenog pristupa i dalje mora dopustiti odredište u podružnici i port, a ACL sučelja na vanjskom putu i dalje vrijedi.

Testirajte odgovor u oba smjera. Veza koja uspije dok bi susjedna usluga trebala pasti informativnija je od jednog uspješnog pinga jer pokazuje da je politika selektivna, a ne širom otvorena. Ako zabranjeni test uspije, tunel nije kriv; politika je. Sačuvajte oba rezultata u zapisu o promjeni kako bi sljedeća osoba znala koje je ponašanje namjeravano.

Hairpin ili drugo sučelje

Hairpin tranzit drži dizajn malim i košta jednu globalnu postavku. Odvojeno sučelje ili rutni tunel s vlastitim virtualnim sučeljem izolira tranzitni put i daje vam politiku po sučelju, uz cijenu adresiranja i još jedne crypto mape ili profila. Ni jedno nije ispravnije; različito zataje.

Rutni dizajni su drugačiji raspored, a ne kvačica u istoj konfiguraciji. Ako prijeđete na takav, gornja rasprava o crypto ACL-u temeljenom na politici prestaje vrijediti i tablica usmjeravanja počinje obavljati posao odabira.

Provjerite s pravog klijenta

Sonda pokrenuta s ASA-e ima drugu izvornu adresu i neće proći put od skupa do podružnice. Upotrijebite packet-tracer za provjeru petorke, zatim otvorite stvarnu vezu s pravog udaljenog klijenta jer tragač simulira i ne zamjenjuje klijentovo vlastito usmjeravanje i politiku.

Nakon planirane promjene spojite se na uslugu koja bi trebala raditi, zatim na onu koja bi trebala biti odbijena, pa potvrdite povratnu rutu podružnice. Ciscovi primjeri VPN hairpin NAT-a drže dopuštenje intra-interface, NAT i ACL-e vidljivo odvojenima i to je mentalni model koji vrijedi kopirati.