ASA VPN hairpin: beina tveimur göngum um eitt viðmót

Umferð fjartengds notanda getur farið út um sama ASA-viðmótið og hún kom inn á, en hairpin-leyfi, umfang ganganna, NAT og ACL eru fjórar aðskildar ákvarðanir.

Fjartengdur notandi tengist ASA, biður um hýsil fyrir aftan útibú, og ASA sendir þá beiðni út um nákvæmlega sama viðmót og notandinn kom inn á. Ekkert við það krefst annarrar líkamlegrar hafnar. Það sem það krefst eru fjórar sjálfstæðar ákvarðanir sem fólk hefur tilhneigingu til að steypa í eina: leyfi til að gera hairpin, göng sem verja réttu netföngin, NAT-stefna sem varðveitir upprunann sem þú lofaðir, og aðgangsstefna sem heimilar þjónustuna.

Ein pakki, tvö göng

Fylgdu flæðinu og röð aðgerðanna hættir að vera ráðgáta. Pakkinn kemur inn í göngum fjartengingar, er afkóðaður og verður venjulegur IP-pakki með uppruna úr biðlarasafninu. ASA beinir honum þá, ber hann saman við crypto ACL frá stað til staðar, dulkóðar hann aftur og sendir út um ytra viðmótið í átt að útibúinu.

Netföngin hér að neðan eru til skýringar, en lögunin skiptir máli: uppruninn er safnið, ekki innra LAN ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Tvennt leiðir af þessu. Biðlarinn þarf leið fyrir forskeyti útibúsins gegnum fjartenginguna sína, sem þýðir að split-tunnel eða áprentaða leiðalistinn verður að innihalda hana. Og útibúið verður að vita hvernig á að skila umferð til 10.77.0.20 eða til þess nets sem NAT-hönnunin þín setti í staðinn.

Hairpin-leyfið er alhliða

Skipunin sem fólk grípur til er same-security-traffic permit intra-interface. Hún leyfir umferð að fara inn og út um sama viðmót, sem er einmitt það sem þessi leið þarf. Hún er líka alhliða stilling: að virkja hana breytir hegðun annarra flæða sem lenda í að fara tvisvar um sama viðmótið.

Þess vegna á hún heima í breytingaskrá en ekki í kembifund. Spurðu hvað annað í tækinu gæti nú farið leið um sama viðmót, og hvort eitthvað af því ætti að gera það. Á annasömum jaðri með gestanetum eða skarast göngum samstarfsaðila er svarið ekki sjálfkrafa nei. Skrifaðu ástæðuna við stillinguna, því næsti verkfræðingur finnur skipunina en ekki samræðurnar.

Verndarumfang og NAT eru aðskilin

Göngin frá stað til staðar verja það sem crypto ACL þeirra velur. Ef sú ACL nefnir innra undirnet ASA sem uppruna er fjartengingarsafnið ekki varið og pakkanum verður annaðhvort hent eða hann sendur í opnu, eftir hegðun kerfisins gagnvart umferð sem passar ekki. Bættu safninu við verndaða flæðið þegar hönnunin varðveitir netföng safnsins.

NAT ákveður þá hvort netfang safnsins lifir af. Identity NAT varðveitir það, og útibúið sér 10.77.0.20 sem uppruna. Þýðing breytir samningnum: útibúið skilar nú umferð til þýdda netsins, og eigin stefna þess verður að samþykkja það. Röð reglna ákveður hvort crypto ACL passi fyrir eða eftir þýðingu, svo lestu raunverulega flæðið í stað þess að gera ráð fyrir hvor vinnur.

Ekki eyða almennum PAT-reglum internetsins til að láta eitt gegnumstreymistilfelli virka. Markviss undanþága eða viljandi identity-regla er auðveldari að útskýra og afturkalla en gat í útstefnunni.

Dulkóðun er ekki heimild

Virk göng sanna aðeins að tveir jafningjar séu sammála um lykla og valara. Þau segja ekkert um hvort þessi notandi megi ná þeirri þjónustu. VPN-sían eða hópstefnan sem er tengd fjartengingunni verður enn að leyfa áfangastað og port útibúsins, og viðmóts-ACL á ytri leiðinni gildir enn.

Prófaðu svarið í báðar áttir. Tenging sem tekst þegar nágrannaþjónustu ætti að mistakast er upplýsandi en eitt heppilegt ping, því hún sýnir að stefnan er sértæk en ekki víðopnuð. Ef prófið sem átti að neita tekst er það ekki göngin sem eru sökudólgurinn heldur stefnan. Geymdu bæði niðurstöðurnar í breytingaskránni svo næsta manneskja viti hvaða hegðun var ætluð.

Hairpin eða annað viðmót

Hairpin-gegnumstreymi heldur hönnuninni lítilli og kostar eina alhliða stillingu. Sérstakt viðmót, eða leiðatengd göng með eigin sýndarviðmóti, einangrar gegnumstreymisleiðina og gefur þér stefnu fyrir hvert viðmót, á kostnað netfanga og enn einnar crypto map eða sniðs. Hvort tveggja er ekki réttara; þau mistakast á mismunandi hátt.

Leiðatengdar hannanir eru önnur uppsetning, ekki haka í sömu stillingu. Ef þú skiptir yfir í slíka hættir umræðan hér að ofan um stefnutengt crypto ACL að gilda og leiðatöflan byrjar að vinna valið.

Staðfestu frá raunverulegum biðlara

Rannsókn sem er ræst frá ASA hefur annað upprunanetfang og mun ekki fara leiðina frá safninu til útibúsins. Notaðu packet-tracer til að athuga fimmundinn, og opnaðu síðan raunverulega tengingu frá hinum raunverulega fjartengda biðlara, því rakinn hermir og kemur ekki í stað eigin leiðar og stefnu biðlarans.

Eftir fyrirhugaða breytingu skaltu tengjast þjónustu sem á að virka, síðan þeirri sem á að vera neitað, og staðfesta síðan afturleið útibúsins. Dæmin frá Cisco um VPN hairpin NAT halda intra-interface leyfinu, NAT og ACL sjáanlega aðskildum, og það er hugsanamódelið sem er þess virði að afrita.

Tengdir greinar