ASA VPN hairpin: két alagút átirányítása egyetlen interfészen

Egy távoli felhasználó csatlakozik az ASA-hoz, egy fióktelep mögötti gazdagépet kér, és az ASA ezt a kérést pontosan azon az interfészen küldi ki, amelyen a felhasználó érkezett. Ennek semmi része nem igényel második fizikai portot. Amit igényel, az négy független döntés, amelyeket az emberek hajlamosak egybeolvasztani: hairpin engedély, a megfelelő címeket védő alagút, a megígért forrást megőrző NAT-szabály és a szolgáltatást engedélyező hozzáférési szabály.

Egy csomag, két alagút

Kövesse a folyamatot, és a műveletek sorrendje megszűnik titokzatos lenni. A csomag a távoli hozzáférési alagúton belül érkezik, visszafejtődik, és közönséges IP-csomaggá válik, amelynek forrása az ügyfélkészletből származik. Ezután az ASA továbbítja, összeveti a helyek közötti crypto ACL-lel, újra titkosítja, és a külső interfészen a fióktelep felé küldi.

Az alábbi címek szemléltetőek, de a forma számít: a forrás a készlet, nem az ASA belső LAN-ja.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Ebből két dolog következik. Az ügyfélnek útvonalra van szüksége a fióktelep előtagjához a távoli hozzáférési kapcsolatán keresztül, ami azt jelenti, hogy a split-tunnel vagy a továbbított útvonallistának tartalmaznia kell. A fióktelepnek pedig tudnia kell, hogyan küldje vissza a forgalmat a 10.77.0.20 címre vagy arra a címre, amelyet a NAT-terv kiváltott.

A hairpin engedély globális

A parancs, amelyhez az emberek nyúlnak: same-security-traffic permit intra-interface. Engedélyezi, hogy a forgalom ugyanazon az interfészen lépjen be és ki, ami pontosan az, amire ennek az útnak szüksége van. Ez egyben globális beállítás is: engedélyezése megváltoztatja azon folyamatok viselkedését, amelyek véletlenül kétszer haladnak át ugyanazon az interfészen.

Ezért tartozik változási jegyzőkönyvbe, nem hibakeresési munkamenetbe. Kérdezze meg, mi más vehet most ugyanazon az interfészen át vezető utat a készüléken, és hogy kellene-e bármelyiknek. Egy forgalmas peremen vendéghálózatokkal vagy átfedő partneralagutakkal a válasz nem automatikusan nem. Írja le az okot a beállítás mellé, mert a következő mérnök a parancsot találja meg, nem a beszélgetést.

A védelmi hatókör és a NAT különválnak

A helyek közötti alagút azt védi, amit a crypto ACL kiválaszt. Ha ez az ACL az ASA belső alhálózatát nevezi meg forrásként, a távoli hozzáférési készlet nincs védve, és a csomag vagy eldobásra kerül, vagy nyíltan továbbítódik, a platform nem illeszkedő forgalomra adott viselkedésétől függően. Adja hozzá a készletet a védett folyamathoz, amikor a terv megőrzi a készlet címeit.

Ezután a NAT dönti el, hogy a készlet címe túléli-e. Az Identity NAT megőrzi, és a fióktelep a 10.77.0.20 címet látja forrásként. A fordítás megváltoztatja a szerződést: a fióktelep most a lefordított címre küldi vissza a forgalmat, és a saját szabályának el kell fogadnia. A szabályok sorrendje dönti el, hogy a crypto ACL a fordítás előtt vagy után illeszkedik-e, ezért a tényleges folyamatot olvassa, ahelyett hogy feltételezné, melyik nyer.

Ne törölje a általános internetes PAT-szabályokat, hogy egyetlen tranziteset működjön. A célzott kivétel vagy a szándékos identity-szabály könnyebben elmagyarázható és visszavonható, mint egy lyuk a kimenő szabályban.

A titkosítás nem engedélyezés

Egy működő alagút csak azt bizonyítja, hogy két fél egyetért a kulcsokban és a szelektorokban. Semmit nem mond arról, hogy ez a felhasználó elérheti-e azt a szolgáltatást. A távoli hozzáférési kapcsolathoz csatolt VPN-szűrőnek vagy csoportházirendnek továbbra is engedélyeznie kell a fióktelep célját és portját, és a külső útvonal interfész-ACL-je továbbra is érvényes.

Tesztelje a választ mindkét irányban. Egy kapcsolat, amely sikeres, miközben egy szomszédos szolgáltatásnak meg kellene hiúsulnia, informatívabb egyetlen sikeres pingnél, mert megmutatja, hogy a szabály szelektív, nem szélesre tárt. Ha a tiltott teszt sikerül, nem az alagút a hibás, hanem a szabály. Őrizze meg mindkét eredményt a változási jegyzőkönyvben, hogy a következő ember tudja, milyen viselkedés volt a szándék.

Hairpin vagy második interfész

A hairpin tranzit kicsiben tartja a tervet, és egy globális beállításba kerül. Egy külön interfész vagy egy saját virtuális interfésszel rendelkező útvonalalapú alagút elkülöníti a tranzitútvonalat, és interfészenkénti szabályt ad, az címzés és egy további crypto map vagy profil árán. Egyik sem helyesebb; másképp hibáznak.

Az útvonalalapú tervek más elrendezést jelentenek, nem egy jelölőnégyzetet ugyanabban a konfigurációban. Ha ilyenre vált, a fenti, házirend-alapú crypto ACL-ről szóló vita érvényét veszti, és az útválasztási tábla kezdi el végezni a kiválasztást.

Ellenőrizze a valódi ügyféltől

Az ASA-ról indított próba más forráscímmel rendelkezik, és nem járja be a készlettől a fióktelepig vezető utat. Használja a packet-tracer parancsot az ötös ellenőrzéséhez, majd nyisson valódi kapcsolatot a tényleges távoli ügyféltől, mert a nyomkövető szimulál, és nem helyettesíti az ügyfél saját útválasztását és szabályát.

Tervezett változtatás után csatlakozzon egy szolgáltatáshoz, amelynek működnie kell, majd egyhez, amelyet el kell utasítani, végül erősítse meg a fióktelep visszaútvonalát. A Cisco VPN hairpin NAT-példái láthatóan külön tartják az intra-interface engedélyt, a NAT-ot és az ACL-eket, és ez az a mentális modell, amelyet érdemes másolni.