ASA hairpin: internetútgangur eða site-til-site VPN-fótur?

Tveir fjarnotendur bak við sama ASA geta sent umferð út um sama ytri viðmót og fengið algjörlega mismunandi meðferð. Annar fer á opinbera vefsíðu, svo pakkinn þarf upprunauppfærslu og internetleið. Hinn fer á netþjón bak við site-til-site göng sem endar líka á þessu viðmóti, svo pakkinn þarf auðkenni, samsvarandi gönguval og afturleið að biðlarahópnum. Leyfi fyrir sama viðmóti er forsenda fyrir báðum og lausn fyrir hvorugan.

Tveir fætur, eitt viðmót

Ákveðið hvaða fót þið byggið áður en þið skrifið NAT-reglu, því reglurnar eru ekki skiptanlegar. Fótur A er biðlari að interneti: hópvistfang inn, þýdd opinbert vistfang út, aftur um sama viðmót. Fótur B er biðlari að einkaforskeyti hinum megin við annan IPsec-félaga: hópvistfangið er varðveitt, endurdulkóðað og afhent félaga sem verður að vita hvernig á að svara hópnum.

Það sem báðir þurfa fyrst er leyfið fyrir sama viðmóti. Án þess neitar ASA að senda pakka út um viðmótið sem hann kom á, og bilunin lítur út eins og leiðarvandamál frekar en stefnuvandamál:

same-security-traffic permit intra-interface

Þessi eina lína heimilar sendingarfyrirkomulag, eins og NAT-tilvísun ASA lýsir fyrir leiðir um sama viðmót. Hún bætir engri biðlaraleið við, heimilar enga auðlind, þýðir ekkert vistfang og semur ekki um IPsec-val, svo búist við að bæta við þremur eða fjórum hlutum í viðbót eftir hana og lesið ekki samþykki hennar sem framfarir.

Fótur A: biðlarinn vill internetið

Fyrir internetútgang verður hópvistfangið að hætta að vera einkaaðgengilegt áður en pakkinn yfirgefur tækið. Í venjulegri PAT-hönnun þýðir reglan hópinn í vistfang ytra viðmótsins, og afturstaðan endurheimtir flæðið til biðlarans:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Staðfestið síðan að biðlarinn hafi raunverulega beðið ASA að bera þessa umferð. Skipting úr klofnu göngunni sendir opinbera áfangastaðinn um eigin tengingu símans, sem nær aldrei til ASA, og engin NAT-regla lagar pakka sem var aldrei sendur. Berið saman klofnu-göngulista hópstefnunnar við áfangastaðinn sem þið prófið.

Restin af fætinum er venjuleg: nothæf sjálfgefin eða sérstök leið út um ytra viðmótið, aðgangsstefna sem leyfir flæðið, og DNS meðhöndlað samkvæmt þeirri leysistefnu sem þið völduð. Bætið við route-lookup hér af sömu ástæðu og fyrir neðan, þar sem inngangs- og útgangsviðmót eru eins.

Fótur B: biðlarinn vill einkanlega stað

Þessi fótur bregst á fleiri stöðum, svo skrifið hann í röð. Fyrst biðlaraleiðin: áfangaforskeytið verður að vera á klofnu-göngulistanum, annars setur biðlarinn það ekki í göngin. Annað gönguvalið: dulritunar-ACL site-til-site verður að ná yfir hópvistfang að fjarlægu forskyrti, ekki bara staðbundið LAN að fjarlæga forskyrtinu. Þriðja auðkennið, svo hópvistfangið þýðist ekki yfir í internet-PAT á leiðinni.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Fjarlægi hliðin er sá hluti sem fólk gleymir að prófa. Félaginn þarf leið til baka að hópnum og val sem inniheldur hann, og eigin stefna hans verður að leyfa upprunavistföngin sem hann mun sjá. Ef staðurinn er notaður í gegnum þýtt yfirlit í staðinn er það gild hönnun, en þá verða báðir félagar, bæði valin og báðar leiðartöflur að vera sammála um þýddu vistföngin.

Athugið líka röð reglnanna. Breið PAT-regla fyrir ofan auðkennisregluna þýðir einkaskiptin áður en auðkennisreglan er metin, og einkennið er staðargöng án samsvarandi SA frekar en NAT-villa.

Prófið sem segir ykkur hvaða fót þið byggðuð

Notið eigið leiðarmat ASA í stað þess að lesa stillingarnar og vona. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed sýnir NAT-ákvörðun, leið og ACL-niðurstöðu fyrir eitt flæði; endurtakið með einkaaðgengilegum áfangastað. Ef NAT-fasinn endurskrifar flæði frá einka til einka byggðuð þið fót A fyrir pakka sem þurfti fót B.

Tvær skipanir í viðbót loka bilinu. show nat detail prentar regluröðina sem packet-tracer fylgdi, og show crypto ipsec sa sýnir hvort val er til fyrir parið sem þið væntið. SA sem vantar er spurning um stillingu vals eða félaga, ekki eitthvað sem NAT-reglan getur lagfært.

Sannreynið hvern fót með umferðinni sem hann þjónar

Samþykkið fót A með venjulegri opinberri beiðni frá biðlaranum, og fót B með beiðni á einkanlega auðlind sem er raunverulega til. Endurtakið svo hvorn fyrir sig með synjaðri auðlind, því „leyft“ og „samþykkt af aðgangsstefnunni“ eru ekki sama sönnunin, og ping sem á uppruna sinn í miðstöðinni þjálfar hvoruga biðlaraleiðina.

Haldið tveimur prófunarskrám aðskildum í miðanum: upprunavistfang, áfangastaður, NAT-reglan sem passaði og niðurstaða. Þegar næsta skýrsla segir „VPN er í sundur“ segir það par ykkur innan mínútu hvaða fót hefur hnignað, og svarið er venjulega leið eða val frekar en línan um sama viðmót sem allir gruna fyrst.