ASA VPN hairpin: ორი გვირაბის მარშრუტიზაცია ერთი ინტერფეისით

დისტანციური მომხმარებელი უკავშირდება ASA-ს, ითხოვს ჰოსტს ფილიალის მიღმა და ASA აგზავნის ამ მოთხოვნას ზუსტად იმ ინტერფეისიდან, საიდანაც მომხმარებელი შემოვიდა. ამაში არაფერი მოითხოვს მეორე ფიზიკურ პორტს. რაც მოითხოვს, ოთხი დამოუკიდებელი გადაწყვეტილებაა, რომლებსაც ადამიანები ხშირად ერთში აერთიანებენ: hairpin-ის ნებართვა, სწორ მისამართებს დამცავი გვირაბი, NAT პოლიტიკა, რომელიც ინარჩუნებს თქვენ მიერ დაპირებულ წყაროს, და წვდომის პოლიტიკა, რომელიც ავტორიზებს სერვისს.

ერთი პაკეტი, ორი გვირაბი

მიჰყევით ნაკადს და ოპერაციების თანმიმდევრობა წყვეტს იდუმალ ყოფნას. პაკეტი შემოდის დისტანციური წვდომის გვირაბში, გაიშიფრება და ხდება ჩვეულებრივი IP პაკეტი კლიენტთა აუზიდან წყაროთი. შემდეგ ASA მას მარშრუტიზაციას უკეთებს, ადარებს site-to-site crypto ACL-ს, ხელახლა შიფრავს და აგზავნის გარე ინტერფეისიდან ფილიალისკენ.

ქვემოთ მოცემული მისამართები საილუსტრაციოა, მაგრამ ფორმა მნიშვნელოვანია: წყარო აუზია, და არა ASA-ს შიდა LAN.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

აქედან ორი რამ გამომდინარეობს. კლიენტს სჭირდება მარშრუტი ფილიალის პრეფიქსისთვის თავისი დისტანციური წვდომის კავშირით, რაც ნიშნავს, რომ split-tunnel ან გაგზავნილი მარშრუტების სია უნდა შეიცავდეს მას. ხოლო ფილიალმა უნდა იცოდეს, როგორ დააბრუნოს ტრაფიკი 10.77.0.20-ზე ან იმ მისამართზე, რომელიც თქვენმა NAT დიზაინმა ჩაანაცვლა.

hairpin ნებართვა გლობალურია

ბრძანება, რომელსაც ადამიანები მიმართავენ, არის same-security-traffic permit intra-interface. ის საშუალებას აძლევს ტრაფიკს შევიდეს და გავიდეს ერთი და იმავე ინტერფეისიდან, რაც ზუსტად ის არის, რაც ამ გზას სჭირდება. ის ასევე გლობალური პარამეტრია: მისი ჩართვა ცვლის სხვა ნაკადების ქცევას, რომლებიც შემთხვევით ორჯერ გაივლიან იმავე ინტერფეისში.

ამიტომ ის ცვლილების ჩანაწერს ეკუთვნის და არა გამართვის სეანსს. ჰკითხეთ, რა შეიძლება ახლა მოწყობილობაზე გავიდეს იმავე ინტერფეისის გზით და უნდა გავიდეს თუ არა რომელიმე მათგანი. დატვირთულ კიდეზე, სტუმრების ქსელებით ან გადაფარული პარტნიორი გვირაბებით, პასუხი ავტომატურად არა არ არის. ჩაწერეთ მიზეზი პარამეტრის გვერდით, რადგან შემდეგი ინჟინერი ბრძანებას იპოვის და არა საუბარს.

დაცვის ფარგლები და NAT ცალ-ცალკეა

site-to-site გვირაბი იცავს იმას, რასაც მისი crypto ACL ირჩევს. თუ ეს ACL წყაროდ ASA-ს შიდა ქვექსელს ასახელებს, დისტანციური წვდომის აუზი დაცული არ არის და პაკეტი ან გადაიგდება, ან ღიად გაიგზავნება, პლატფორმის ქცევის მიხედვით შეუსაბამო ტრაფიკის მიმართ. დაამატეთ აუზი დაცულ ნაკადს, როცა დიზაინი ინარჩუნებს აუზის მისამართებს.

შემდეგ NAT წყვეტს, გადარჩება თუ არა აუზის მისამართი. Identity NAT ინარჩუნებს მას და ფილიალი 10.77.0.20-ს წყაროდ ხედავს. თარგმანი ცვლის კონტრაქტს: ფილიალი ახლა ტრაფიკს თარგმნილ მისამართზე აბრუნებს და მისმა საკუთარმა პოლიტიკამ ეს უნდა მიიღოს. წესების რიგი განსაზღვრავს, ემთხვევა crypto ACL თარგმანამდე თუ მის შემდეგ, ამიტომ წაიკითხეთ ფაქტობრივი ნაკადი და ნუ ივარაუდებთ, რომელი იმარჯვებს.

ნუ წაშლით ინტერნეტის ზოგად PAT წესებს, რომ ერთი გავლის შემთხვევა იმუშაოს. მიზნობრივი გამონაკლისი ან განზრახ identity წესი უფრო ადვილი ასახსნელი და გასაუქმებელია, ვიდრე ხვრელი გამავალ პოლიტიკაში.

შიფრაცია ავტორიზაცია არ არის

მომუშავე გვირაბი მხოლოდ იმას ამტკიცებს, რომ ორი მხარე გასაღებებსა და სელექტორებზე შეთანხმდა. ის არაფერს ამბობს იმაზე, შეიძლება თუ არა ამ მომხმარებელმა იმ სერვისამდე მისვლა. დისტანციური წვდომის კავშირზე მიმაგრებულ VPN ფილტრს ან ჯგუფურ პოლიტიკას კვლავ უნდა დაუშვას ფილიალის დანიშნულება და პორტი, და გარე გზის ინტერფეისის ACL კვლავ მოქმედებს.

გამოსცადეთ პასუხი ორივე მიმართულებით. კავშირი, რომელიც წარმატებულია, მაშინ როცა მეზობელი სერვისი უნდა ჩავარდეს, უფრო ინფორმატიულია, ვიდრე ერთი წარმატებული ping, რადგან აჩვენებს, რომ პოლიტიკა შერჩევითია და არა ფართოდ ღია. თუ აკრძალული ტესტი წარმატებულია, დამნაშავე გვირაბი არ არის, არამედ პოლიტიკა. შეინახეთ ორივე შედეგი ცვლილების ჩანაწერში, რომ შემდეგმა ადამიანმა იცოდეს, რომელი ქცევა იყო განზრახული.

hairpin თუ მეორე ინტერფეისი

hairpin გავლა დიზაინს პატარად ინარჩუნებს და ერთი გლობალური პარამეტრი ღირს. ცალკე ინტერფეისი, ან მარშრუტზე დაფუძნებული გვირაბი საკუთარი ვირტუალური ინტერფეისით, იზოლირებს გავლის გზას და გაძლევთ პოლიტიკას თითოეული ინტერფეისისთვის, მისამართებისა და კიდევ ერთი crypto map-ის ან პროფილის ფასად. არც ერთი არ არის უფრო სწორი; ისინი სხვადასხვაგვარად ფუჭდება.

მარშრუტზე დაფუძნებული დიზაინები განსხვავებული განლაგებაა და არა ერთი და იმავე კონფიგურაციის მოსანიშნი უჯრა. თუ მათზე გადახვალთ, ზემოთ მოცემული პოლიტიკაზე დაფუძნებული crypto ACL-ის განხილვა წყვეტს ძალაში ყოფნას და მარშრუტიზაციის ცხრილი იწყებს არჩევანის საქმეს.

გადაამოწმეთ ნამდვილი კლიენტიდან

ASA-დან გაშვებულ ზონდს განსხვავებული წყაროს მისამართი აქვს და აუზიდან ფილიალამდე გზას არ გაივლის. გამოიყენეთ packet-tracer ხუთეულის შესამოწმებლად, შემდეგ გახსენით ნამდვილი კავშირი ფაქტობრივი დისტანციური კლიენტიდან, რადგან მაძიებელი მხოლოდ ახდენს სიმულაციას და არ ცვლის კლიენტის საკუთარ მარშრუტიზაციასა და პოლიტიკას.

დაგეგმილი ცვლილების შემდეგ დაუკავშირდით სერვისს, რომელიც უნდა მუშაობდეს, შემდეგ იმას, რომელიც უნდა უარყოფილ იქნას, და შემდეგ დაადასტურეთ ფილიალის დაბრუნების მარშრუტი. Cisco-ს VPN hairpin NAT-ის მაგალითები თვალსაჩინოდ ცალ-ცალკე ინახავს intra-interface ნებართვას, NAT-ს და ACL-ებს, და ეს არის ის გონებრივი მოდელი, რომლის კოპირებაც ღირს.