ASA VPN hairpin: երկու թունելների երթուղավորում մեկ ինտերֆեյսով

Հեռավոր օգտվողը միանում է ASA-ին, խնդրում է մասնաճյուղի հետևում գտնվող հոսթ, և ASA-ն այդ հարցումն ուղարկում է հենց այն ինտերֆեյսով, որով եկել է օգտվողը։ Դրանից ոչինչ երկրորդ ֆիզիկական պորտ չի պահանջում։ Ինչ պահանջում է, չորս անկախ որոշումներ են, որոնք մարդիկ հակված են միավորել մեկի մեջ. hairpin-ի թույլտվություն, ճիշտ հասցեները պաշտպանող թունել, ձեր խոստացած աղբյուրը պահպանող NAT քաղաքականություն և ծառայությունը լիազորող մուտքի քաղաքականություն։

Մեկ փաթեթ, երկու թունել

Հետևեք հոսքին, և գործողությունների հաջորդականությունը դադարում է առեղծված լինելուց։ Փաթեթը հասնում է հեռավոր մուտքի թունելի ներսում, ապակոդավորվում է և դառնում սովորական IP փաթեթ՝ հաճախորդների լողավազանից աղբյուրով։ Այնուհետև ASA-ն երթուղավորում է այն, համեմատում է կայք-կայք crypto ACL-ի հետ, նորից գաղտնագրում և ուղարկում է արտաքին ինտերֆեյսով դեպի մասնաճյուղ։

Ստորև բերված հասցեները պատկերավոր են, բայց ձևը կարևոր է. աղբյուրը լողավազանն է, ոչ թե ASA-ի ներքին LAN-ը։

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Դրանից բխում է երկու բան։ Հաճախորդին անհրաժեշտ է մարշրուտ մասնաճյուղի նախածանցի համար իր հեռավոր մուտքի կապի միջոցով, ինչը նշանակում է, որ split-tunnel-ը կամ ուղարկված մարշրուտների ցանկը պետք է ներառի այն։ Իսկ մասնաճյուղը պետք է իմանա, թե ինչպես վերադարձնել թրաֆիկը 10.77.0.20-ին կամ այն հասցեին, որը փոխարինել է ձեր NAT դիզայնը։

hairpin թույլտվությունը գլոբալ է

Հրամանը, որին մարդիկ դիմում են, հետևյալն է՝ same-security-traffic permit intra-interface։ Այն թույլ է տալիս թրաֆիկին մտնել և դուրս գալ նույն ինտերֆեյսով, ինչը հենց այն է, ինչ պահանջում է այս ուղին։ Այն նաև գլոբալ կարգավորում է. միացնելը փոխում է այն այլ հոսքերի վարքը, որոնք պատահաբար երկու անգամ անցնում են նույն ինտերֆեյսով։

Դրա համար այն տեղ ունի փոփոխությունների գրառման մեջ, ոչ թե վրիպազերծման նստաշրջանում։ Հարցրեք, թե սարքում էլ ինչը կարող է հիմա անցնել նույն ինտերֆեյսի ուղիով, և արդյոք դրանցից որևէ մեկը պետք է։ Հյուր ցանցերով կամ համընկնող գործընկեր թունելներով զբաղված եզրում պատասխանը ինքնաբերաբար ոչ չէ։ Գրեք պատճառը կարգավորման կողքին, որովհետև հաջորդ ինժեները կգտնի հրամանը, ոչ թե խոսակցությունը։

Պաշտպանության շրջանակը և NAT-ը առանձին են

Կայք-կայք թունելը պաշտպանում է այն, ինչ ընտրում է իր crypto ACL-ը։ Եթե այդ ACL-ը որպես աղբյուր նշում է ASA-ի ներքին ենթացանցը, ապա հեռավոր մուտքի լողավազանը պաշտպանված չէ, և փաթեթը կա՛մ կմերժվի, կա՛մ բաց կուղարկվի՝ կախված հարթակի վարքից չհամապատասխանող թրաֆիկի նկատմամբ։ Ավելացրեք լողավազանը պաշտպանված հոսքին, երբ դիզայնը պահպանում է լողավազանի հասցեները։

Այնուհետև NAT-ը որոշում է՝ լողավազանի հասցեն գոյատևում է, թե ոչ։ Identity NAT-ը պահպանում է այն, և մասնաճյուղը 10.77.0.20-ը տեսնում է որպես աղբյուր։ Թարգմանությունը փոխում է պայմանագիրը. մասնաճյուղն այժմ թրաֆիկը վերադարձնում է թարգմանված հասցեին, և նրա սեփական քաղաքականությունը պետք է ընդունի դա։ Կանոնների հերթականությունը որոշում է՝ crypto ACL-ը համընկնում է թարգմանությունից առաջ, թե հետո, ուստի կարդացեք փաստացի հոսքը՝ ենթադրելու փոխարեն, թե որն է հաղթում։

Մի՛ ջնջեք ինտերնետի ընդհանուր PAT կանոնները, որպեսզի մեկ տրանզիտ դեպք աշխատի։ Նպատակային բացառությունը կամ դիտավորյալ identity կանոնը ավելի հեշտ է բացատրել և հետարկել, քան ելքային քաղաքականության մեջ անցք բացելը։

Գաղտնագրումը լիազորում չէ

Աշխատող թունելը միայն ապացուցում է, որ երկու կողմերը համաձայն են բանալիների և ընտրիչների շուրջ։ Այն ոչինչ չի ասում այն մասին, թե արդյոք այս օգտվողը կարող է հասնել այդ ծառայությանը։ Հեռավոր մուտքի կապին կցված VPN զտիչը կամ խմբային քաղաքականությունը դեռ պետք է թույլատրի մասնաճյուղի նպատակակետը և պորտը, և արտաքին ուղու ինտերֆեյսի ACL-ը դեռ գործում է։

Փորձարկեք պատասխանը երկու ուղղությամբ։ Կապը, որը հաջողվում է, մինչ հարևան ծառայությունը պետք է ձախողվեր, ավելի տեղեկատվական է, քան մեկ հաջող ping-ը, որովհետև ցույց է տալիս, որ քաղաքականությունը ընտրովի է, ոչ թե լայն բաց։ Եթե արգելված թեստը հաջողվում է, մեղավորը թունելը չէ, այլ քաղաքականությունը։ Պահեք երկու արդյունքներն էլ փոփոխությունների գրառման մեջ, որպեսզի հաջորդ մարդը իմանա, թե որ վարքն էր նախատեսված։

hairpin, թե երկրորդ ինտերֆեյս

hairpin տրանզիտը դիզայնը պահում է փոքր և արժե մեկ գլոբալ կարգավորում։ Առանձին ինտերֆեյսը կամ սեփական վիրտուալ ինտերֆեյսով երթուղային թունելը մեկուսացնում է տրանզիտ ուղին և տալիս է ինտերֆեյս առ ինտերֆեյս քաղաքականություն՝ հաշվի առնելով հասցեավորումը և ևս մեկ crypto map կամ պրոֆիլ։ Ոչ մեկն ավելի ճիշտ չէ. դրանք տարբեր կերպ են ձախողվում։

Երթուղային դիզայնները այլ դասավորություն են, ոչ թե նույն կոնֆիգուրացիայի վանդակ։ Եթե անցնեք դրանցից մեկին, վերևի՝ քաղաքականության վրա հիմնված crypto ACL քննարկումը դադարում է կիրառվելիք լինելուց, և երթուղային աղյուսակը սկսում է կատարել ընտրության աշխատանքը։

Ստուգեք իրական հաճախորդից

ASA-ից սկսված փորձարկումն ունի այլ աղբյուրի հասցե և չի անցնի լողավազանից մասնաճյուղ ուղին։ Օգտագործեք packet-tracer հնգյակը ստուգելու համար, ապա բացեք իրական կապ փաստացի հեռավոր հաճախորդից, որովհետև հետագծիչը մոդելավորում է և չի փոխարինում հաճախորդի սեփական երթուղավորումն ու քաղաքականությունը։

Պլանավորված փոփոխությունից հետո միացեք ծառայության, որը պետք է աշխատի, ապա մեկին, որը պետք է մերժվի, և հետո հաստատեք մասնաճյուղի վերադարձի ուղին։ Cisco-ի VPN hairpin NAT օրինակները տեսանելիորեն առանձին են պահում intra-interface թույլտվությունը, NAT-ը և ACL-ները, և դա այն մտավոր մոդելն է, որն արժե կրկնօրինակել։