ASA hairpin: internetes kimenet vagy site-to-site VPN-láb?

Két távelérési felhasználó ugyanazon ASA mögött ugyanabból a külső interfészből küldhet forgalmat, és teljesen eltérő elbánásban részesülhet. Az egyik egy nyilvános webhelyre megy, ezért a csomagnak forrásfordításra és internetes útvonalra van szüksége. A másik egy site-to-site alagút mögötti kiszolgálóra megy, amely alagút szintén ezen az interfészen végződik, ezért a csomagnak identitásra, megfelelő alagút-szelektorra és visszaútra van szüksége az ügyfélpoolhoz. Az azonos interfész engedélye mindkettőnek előfeltétele, és egyiknek sem megoldása.

Két láb, egy interfész

Döntse el, melyik lábat építi, mielőtt NAT-szabályt ír, mert a szabályok nem cserélhetők fel. Az A láb az ügyféltől az internet felé vezet: a pool címe befelé, a lefordított nyilvános cím kifelé, vissza ugyanazon az interfészen. A B láb az ügyféltől egy másik IPsec-partner túloldalán lévő privát prefixhez vezet: a pool címe megmarad, újra titkosítódik, és egy olyan partnernek adódik át, amelynek tudnia kell, hogyan válaszoljon a poolnak.

Amire mindkettőnek először szüksége van, az az azonos interfész engedélye. Enélkül az ASA megtagadja a csomag továbbítását azon az interfészen, amelyen megérkezett, és a hiba inkább útválasztási, mint házirend-problémának tűnik:

same-security-traffic permit intra-interface

Ez az egy sor továbbítási elrendezést engedélyez, ahogyan a ASA NAT-referencia leírja az azonos interfész útvonalaihoz. Nem ad hozzá ügyfélútvonalat, nem engedélyez erőforrást, nem fordít le címet és nem tárgyal IPsec-szelektort, ezért számítson rá, hogy utána még három-négy dolgot hozzá kell adnia, és ne olvassa elfogadását előrelépésként.

A láb: az ügyfél az internetet akarja

Internetes kimenethez a pool címének meg kell szűnnie privátnak lenni, mielőtt a csomag elhagyja az eszközt. Egy szokásos PAT-kialakításban a szabály a poolt a külső interfész címére fordítja, és a visszatérési állapot helyreállítja az ügyfél felé irányuló folyamot:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Ezután erősítse meg, hogy az ügyfél valóban az ASA-t kérte meg a forgalom vitelére. A megosztott alagút kizárása a nyilvános célt a telefon saját kapcsolatán küldi, amely soha nem éri el az ASA-t, és semmilyen NAT-szabály nem javít meg egy soha el nem küldött csomagot. Hasonlítsa össze a csoportházirend megosztott alagút listáját a tesztelt céllal.

A láb többi része szokásos: használható alapértelmezett vagy konkrét útvonal a külső interfészből, a folyamot engedélyező hozzáférési házirend, és a választott feloldó házirend szerint kezelt DNS. Adja hozzá route-lookup itt ugyanazon okból, mint lentebb, mivel a belépő és a kilépő interfész azonos.

B láb: az ügyfél privát helyszínt akar

Ez a láb több helyen hibázik, ezért sorrendben írja meg. Először az ügyfélútvonal: a célprefixnek szerepelnie kell a megosztott alagút listáján, különben az ügyfél nem teszi be az alagútba. Másodszor az alagút-szelektor: a site-to-site kripto ACL-nek le kell fednie a pool címe és a távoli prefix közötti tartományt, nem csak a helyi LAN és a távoli prefix közöttit. Harmadszor az identitás, hogy a pool címe útközben ne forduljon le az internetes PAT-ra.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

A túloldal az a rész, amelyet az emberek elfelejtenek tesztelni. A partnernek visszaútra van szüksége a poolhoz és egy szelektorra, amely tartalmazza, valamint a saját házirendjének engedélyeznie kell a forráscímeket, amelyeket látni fog. Ha a helyszínt inkább lefordított nézetben használják, az érvényes kialakítás, de akkor mindkét partnernek, mindkét szelektornak és mindkét útválasztási táblának egyet kell értenie a lefordított címekben.

Ellenőrizze a szabályok sorrendjét is. Az identitásszabály feletti széles PAT-szabály lefordítja a privát cserét, mielőtt az identitásszabályt egyáltalán kiértékelnék, és a tünet egy megfelelő SA nélküli helyszíni alagút lesz, nem NAT-hiba.

A teszt, amely megmondja, melyik lábat építette

Használja az ASA saját útvonal-kiértékelését ahelyett, hogy a konfigurációt olvasná és reménykedne. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed megmutatja a NAT-döntést, az útvonalat és az ACL eredményét egy folyamra; ismételje meg privát céllal. Ha a NAT-fázis átír egy privátból privátba folyamot, akkor az A lábat építette meg egy olyan csomaghoz, amelynek a B lábra volt szüksége.

Két további parancs zárja be a rést. show nat detail kiírja a szabálysorrendet, amelyet a packet-tracer követett, és show crypto ipsec sa megmutatja, létezik-e szelektor a várt párhoz. A hiányzó SA szelektor- vagy partner-konfigurációs kérdés, nem olyasmi, amit a NAT-szabály meg tud javítani.

Ellenőrizze mindegyik lábat azzal a forgalommal, amelyet kiszolgál

Fogadja el az A lábat az ügyfél szokásos nyilvános kérésével, a B lábat pedig egy valóban létező privát erőforrásra irányuló kéréssel. Ezután ismételje meg mindegyiket egy megtagadott erőforrással, mert az „engedélyezett” és a „hozzáférési házirend által jóváhagyott” nem ugyanaz a bizonyíték, és a központból induló ping egyik ügyfélútvonalat sem gyakorolja.

Tartsa a két tesztfeljegyzést külön a ticketben: forráscím, cél, az egyező NAT-szabály és az eredmény. Amikor a következő jelentés azt mondja, „a VPN elromlott”, az a pár egy percen belül megmondja, melyik láb romlott vissza, és a válasz általában egy útvonal vagy egy szelektor, nem az azonos interfész sora, amelyre mindenki először gyanakszik.