Identity NAT á ASA á móti NAT-undanþágu IOS fyrir VPN-umferð

Útibú heldur internet-PAT og site-to-site VPN á sama Cisco-gátt og VPN hættir að virka um leið og NAT er bætt við. Vistföngin inni í göngunum passa ekki lengur við það sem crypto ACL verndar, eða jafninginn sér þýdd vistföng sem hann hefur enga leið að. Cisco leysir þetta á tveimur stöðum: ASA velur NAT-reglu sem varpar vistfangi á sig sjálft, en IOS heldur flæðinu utan við þýðingarreglu með deny í ACL. Bæði varðveita upprunalegu vistföngin, og hvorugt er framhjáhlaup á NAT-vinnslu.

Skráðu flæðið áður en þú velur reglu

Byrjaðu á að skrifa niður flæðið sem þú ætlar að vernda: LAN-uppspretta, fjarlægur áfangastaður og nákvæma vistfangsparið sem IPsec-stefnan verndar. Gerðu það áður en þú breytir reglu, því þessi mengi sýna hvaða flokkari eða NAT-regla hefði átt að passa.

Finndu svo regluna sem raunverulega passaði, ekki þá sem þú ætlaðir. Á báðum kerfum er NAT metið í röð, og fyrri regla getur unnið áður en undanþága þín er skoðuð. Undanþága sem virðist rétt en tapar fyrir annarri reglu skilar aldrei væntu pakkinn til verndarstefnunnar. Einkennin eru eins og þegar undanþága vantar, þess vegna verður að lesa röð reglnanna áður en stillingunni er breytt.

Identity NAT á ASA er regla, ekki framhjáhlaup

Á ASA er identity NAT NAT-regla þar sem þýdda vistfangið er jafnt upprunalega. Hún er valin eins og hver önnur regla og setur samt upp þýðingarfærslu, svo pakkinn sleppir ekki NAT-vinnslunni. Það sem breytist er að vistföngin á línunni haldast þau sömu, og það er það sem IPsec-stefnan þarf.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Viðmót reglunnar og route-lookup stilling hennar verða að passa við framsendingarhönnunina. Regla sem varpar vistfanginu rétt en er beitt á rangt viðmótspar verður ekki valin fyrir flæðið þitt. Route-lookup ræður því hvort þýddi pakkinn er leiðbeindur eða upprunalegi áfangastaðurinn notaður, og það ræður því hvort endurkoma kemur til baka um göngin.

Stjórnunaraðgangur að ASA sjálfu er sérstakt tilvik. Ef þú notar identity NAT fyrir stjórnunarumferð gildir route-lookup krafan sem fylgir útgáfunni, og breið undanþága sem afrituð er úr VPN-dæmi lagar ekki SSH.

Deny í NAT-ACL IOS þýðir ekki valið hér

Á IOS er internet-NAT stýrt af uppsprettulista, og sú ACL er flokkari, ekki sía. Permit-lína velur umferð til þýðingar; deny-lína þýðir að pakkinn er ekki valinn hér. Sú deny er ekki fyrirmæli um að henda pakkanum eins og deny í viðmóts-ACL.

Ekki valið hér er einnig þrengra en aldrei þýtt hvar sem er. Önnur NAT-regla, annað viðmót eða route-map geta enn þýtt flæðið, svo lesa verður alla NAT-töfluna. Pakkinn þarf líka leið, samsvarandi crypto ACL og leyfi við raunveruleg mörk aðgangsstýringar.

Lágmarks IOS-fyrirkomulag setur deny fyrir ofan permit í sama lista og beinir overload-reglunni að þeim lista. Þá verndar crypto ACL sama parið og deny útilokar frá þýðingu.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Ein prófanleg spurning fyrir bæði módelin

Bæði módelin svara sömu spurningu: hvaða regla passaði við þetta flæði, og hvaða vistföng fóru frá viðmótinu? Taktu upp á ytra viðmótinu og berðu saman uppsprettuvistfangið fyrir og eftir gáttina. Skoðaðu svo sýn jafningsins á göngin, því SA getur verið uppi á meðan verndaða flæðið er þýtt annars staðar.

Á ASA skaltu sýna nat detail og þýðingartöfluna; á IOS skaltu sýna ip nat translations og samsvarandi ACL-teljara. Regla sem stækkar aldrei var aldrei valin, og það bendir á röð, viðmót eða stefnu frekar en crypto-stillinguna.

Hvar stillingin fer venjulega úrskeiðis

Algengu biluninar eru vélrænar. Deny er fyrir neðan permit og passar aldrei. Flokkarinn er beitt í ranga stefnu, svo endurflæðið er þýtt. Identity-reglan nær yfir réttu vistföngin en ranga viðmótsparið. Crypto ACL verndar undirnet sem passar ekki lengur við það sem NAT-reglan sýnir.

Skráðu upprunalega og sýnda vistfangsparið við hlið reglueigandans, svo næsti verkfræðingur sjái hvers vegna flokkari neitar þýðingu á meðan eldveggurinn leyfir forritið. Haltu því í breytingarmiðanum, ekki í einkaskýrslu. Keyrðu svo flæðið aftur eftir hverja NAT-breytingu, því röð reglnanna er hluti stillingarinnar jafnvel þótt texti reglunnar breytist ekki. Göng sem rísa eru ekki sönnun þess að vistföngin hafi lifað af; aðeins upptekið pakkinn og afkóðuð sýn jafningsins eru það.