Split-tunnel undanþiggur ekki opinbera vél frá NAT-reglum ASA

Split-tunnel er venjulega lýst sem leið til að halda fyrirtækjauumferð inni í tunnlinum og restinni af internetinu utan eldveggsins. Báðir helmingar þeirrar lýsingar eru rangir á sama hátt. Split-tunnel er leiðarákvörðun sem biðlarinn tekur, og leiðarákvörðun segir ekkert um hvað verður um pakkann eftir að hann nær headend.

Ein samstarfsþjónusta á opinberu vistfangi, sem krefst þess að sjá vistfang höfuðstöðvanna þinna, er nóg til að brjóta söguna.

Goðsögnin: split-tunnel tekur eldvegginn út af leiðinni

Trúin er sú að hver áfangastaður utan einkasviðanna haldist á staðbundnu internetstengingunni, svo eldveggurinn sjái hann aldrei og þurfi aldrei reglu fyrir hann. Það gildir aðeins á meðan áfangastaðurinn er ekki á tunnillistanum. Á því augnabliki sem stjórnandi bætir opinberri vél við split-include ACL, sendir biðlarinn þá umferð inn í tunnilinn, og ASA verður að beina, sía og þýða hana eins og hvaða aðra afkóðaða flæði sem er. Ekkert breyttist á biðlaranum nema áfangastaðalistinn.

Biðlarinn varð ekki leiðari. Hann fylgdi stefnunni sem þú gafst honum.

Hvað split-include leið gerir í raun

Í Cisco ASA fjartengingu ber hópstefnan split-tunnel-policy tunnelspecified og split-tunnel-network-list sem nefnir staðlað ACL. Hver permit-lína í því ACL er áfangastaður sem biðlarinn á að senda inn í tunnilinn, og allt annað heldur áfram að nota staðbundnu sjálfgefnu leiðina.

Að bæta við einni vél er ein lína, og það er eini hlutinn af breytingunni sem biðlarinn getur séð: access-list RA-SPLIT standard permit host 203.0.113.20.

Endurtengdu biðlarann eftir það. Stefnan er skipt út við tengingu, svo þegar sett lota heldur gamla listanum og lætur breytinguna líta út eins og hún hafi gert ekkert.

Pakkinn kemur og fer á sama tengi

Fylgdu flæðinu nú eftir afkóðun. Pakkinn kom inn á ytra tengið í gegnum VPN-tunnilinn, áfangastaður hans er opinbert vistfang, og leiðartöflan sendir hann aftur út sama ytra tengið í átt að internetinu. Umferð sem fer inn og út um eitt tengi er hent ef ASA er ekki leyft að hleypa henni í gegn, og það er það sem same-security-traffic permit intra-interface gerir. Án þess mistekst tengingin á þann hátt sem lítur út eins og leiðarvandamál og er það ekki.

Þessi stilling er alþjóðleg. Hún leyfir hairpinning fyrir hvert flæði sem þarf á því að halda, ekki aðeins þessa samstarfsvél, svo hún á heima í yfirfarinni breytingu en ekki í skyndiprófi.

Hvers vegna PAT sem er takmarkað við áfangastað er ekki valfrjálst

Upprunavistfang afkóðaða pakkans er enn VPN-vistfang biðlarans, venjulega úr laug eins og 10.77.0.0/24. Það vistfang hefur enga leið á opinbera internetinu, svo samstarfsaðilinn annaðhvort svarar aldrei eða svarar út í tómið.

Þýðingin lagar upprunann og lætur áfangastaðinn ósnortinn. Þar sem hlutirnir eru þegar skilgreindir annars staðar, hefur handvirk regla sem er takmörkuð við þennan áfangastað þessa mynd:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

Hlutinn destination static skiptir máli. Ef honum er sleppt verður reglan að breiðri þýðingu sem getur passað við miklu meiri umferð en ætlað var, og breið identity-regla fyrr í röðinni getur sigrað þessa algjörlega. Athugaðu show nat detail og röð hlutanna áður en þú gerir ráð fyrir að þín regla sé sú sem passar.

Tengis-PAT þýðir líka að samstarfsaðilinn sér tengisvistfang ASA, sem kann að vera þýtt aftur ofar. Ef samningurinn nefnir vistfang, staðfestu það enda til enda frekar en á einu hoppi.

Sannaðu það með rétta prófunaráfangastaðnum

Notaðu samstarfsvélina sjálfa, ekki almenna what-is-my-ip síðu. Sú síða er næstum örugglega utan split-listans, svo hún greinir frá staðbundnu internetvistfangi þínu og segir ekkert um þessa leið. Opnaðu nýja tengingu við samstarfsþjónustuna og spurðu hvaða uppruna þau sáu, eða keyrðu packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed og lestu NAT- og leiðarþrepin línu fyrir línu. Traceroute frá biðlaranum er veikari athugun, því hún sýnir leiðina sem þegar varð frekar en stefnuna sem valdi henni.

Athugaðu svo hvað á ekki að breytast. Venjuleg vefsíða verður enn að fara út um staðbundnu tenginguna, og einkaaðfang á tunnillistanum verður enn að vera aðgengilegt. Breyting sem lagar samstarfsaðilann og brýtur annað hvort þeirra er önnur villa.

Virk útgáfa þessarar hönnunar er stutt: ein vél í split ACL, hairpin leyfi, ein PAT-regla takmörkuð við áfangastað. Allt annað í sögunni er goðsögnin.