ASA hairpin: интернетке шығу ма, әлде сайт-сайт VPN тармағы ма?

Клиенттер пулы интернетке немесе сайт VPN-іне шыға алады. NAT жазудан бұрын қай тармақ керек екенін шешіңіз, содан кейін маршрутты, селекторды және жауап жолын тексеріңіз.

Бір ASA артындағы екі қашықтан қатынау пайдаланушысы бірдей сыртқы интерфейстен трафик жіберіп, мүлдем басқаша қабылдануы мүмкін. Біреуі қоғамдық веб-сайтқа барады, сондықтан пакетке көзді трансляциялау және интернет маршруты қажет. Екіншісі сол интерфейсте аяқталатын сайт-сайт туннелінің артындағы серверге барады, сондықтан пакетке сәйкестік, сәйкес туннель селекторы және клиенттер пулына қайту жолы қажет. Бірдей интерфейске рұқсат екеуі үшін де алғышарт және ешқайсысы үшін шешім емес.

Екі тармақ, бір интерфейс

NAT ережесін жазбас бұрын қай тармақты салып жатқаныңызды шешіңіз, өйткені ережелер бірін-бірі алмастырмайды. A тармағы — клиенттен интернетке: пул мекенжайы кіреді, аударылған қоғамдық мекенжай шығады, сол интерфейс арқылы қайтады. B тармағы — клиенттен басқа IPsec серіктесінің қарсы жағындағы жеке префикске: пул мекенжайы сақталады, қайта шифрланады және пулға қалай жауап беру керектігін білуі тиіс серіктеске жеткізіледі.

Екеуіне де ең алдымен бірдей интерфейске рұқсат қажет. Онсыз ASA пакетті келген интерфейстен әрі қарай жіберуден бас тартады, ал ақау саясат емес, маршруттау мәселесіндей көрінеді:

same-security-traffic permit intra-interface

Сол бір жол жіберу тәртібіне рұқсат береді, оны ASA NAT анықтамалығы бірдей интерфейс жолдары үшін сипаттайды. Ол клиент маршрутын қоспайды, ресурсқа рұқсат бермейді, мекенжайды аудармайды және IPsec селекторы туралы келіспейді, сондықтан одан кейін тағы үш-төрт нәрсе қосуға дайын болыңыз және оның қабылдануын ілгерілеу деп оқымаңыз.

A тармағы: клиент интернетті қалайды

Интернетке шығу үшін пул мекенжайы пакет құрылғыдан шықпас бұрын жеке болуын тоқтатуы керек. Кәдімгі PAT дизайнында ереже пулды сыртқы интерфейс мекенжайына аударады, ал қайту күйі клиентке қарай ағынды қалпына келтіреді:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Содан кейін клиенттің шынымен ASA-дан осы трафикті тасымалдауды сұрағанын растаңыз. Бөлінген туннельден шығару қоғамдық межелі орынды телефонның өз қосылысы арқылы жібереді, ол ASA-ға ешқашан жетпейді, және ешбір NAT ережесі ешқашан жіберілмеген пакетті түзетпейді. Топ саясатының бөлінген туннель тізімін сынап жатқан межелі орынмен салыстырыңыз.

Тармақтың қалғаны қарапайым: сыртқы интерфейстен қолдануға болатын әдепкі немесе нақты маршрут, ағынға рұқсат беретін қатынау саясаты және сіз таңдаған шешуші саясатына сәйкес өңделетін DNS. Мұнда route-lookup төмендегідей себеппен қосыңыз, өйткені кіру және шығу интерфейстері бірдей.

B тармағы: клиент жеке сайтты қалайды

Бұл тармақ көбірек жерде сәтсіз болады, сондықтан оны ретімен жазыңыз. Бірінші клиент маршруты: межелі префикс бөлінген туннель тізімінде болуы керек, әйтпесе клиент оны туннельге салмайды. Екінші туннель селекторы: сайт-сайт крипто ACL пул мекенжайынан қашық префикске дейін қамтуы керек, тек жергілікті LAN-нан қашық префикске дейін емес. Үшінші сәйкестік, пул мекенжайы жолда интернет PAT-қа аударылмауы үшін.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Қашық жақ — адамдардың сынауды ұмытатын бөлігі. Серіктеске пулға қайту маршруты және оны қамтитын селектор қажет, және оның өз саясаты өзі көретін көз мекенжайларына рұқсат беруі керек. Егер сайт оның орнына аударылған көрініс арқылы пайдаланылса, бұл жарамды дизайн, бірақ онда екі серіктес, екі селектор және екі маршруттау кестесі аударылған мекенжайлар туралы келісуі керек.

Ережелер ретін де тексеріңіз. Сәйкестік ережесінен жоғары тұрған кең PAT ережесі жеке алмасуды сәйкестік ережесі бағаланбай тұрып аударып қояды, ал симптом NAT қатесі емес, сәйкес SA-сы жоқ сайт туннелі болады.

Қай тармақты салғаныңызды айтатын тест

Конфигурацияны оқып, үміттенудің орнына ASA-ның өз жол бағалауын пайдаланыңыз. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed бір ағын үшін NAT шешімін, маршрутты және ACL нәтижесін көрсетеді; жеке межелі орынмен қайталаңыз. Егер NAT кезеңі жекеден жекеге ағынды қайта жазса, B тармағы қажет болған пакет үшін A тармағын салдыңыз.

Тағы екі пәрмен олқылықты жабады. show nat detail packet-tracer ұстанған ережелер ретін басып шығарады, және show crypto ipsec sa күткен жұп үшін селектор бар-жоғын көрсетеді. Жоқ SA — селектор немесе серіктес конфигурациясының мәселесі, NAT ережесі түзете алатын нәрсе емес.

Әр тармақты ол қызмет көрсететін трафикпен тексеріңіз

A тармағын клиенттің кәдімгі қоғамдық сұранысымен, ал B тармағын шынымен бар жеке ресурсқа сұраныспен қабылдаңыз. Содан кейін әрқайсысын қабылданбаған ресурспен қайталаңыз, өйткені «рұқсат етілген» мен «қатынау саясатымен мақұлданған» бірдей дәлел емес, және хабтан шыққан ping клиент жолдарының ешқайсысын жаттықтырмайды.

Тикетте екі сынақ жазбасын бөлек ұстаңыз: көз мекенжайы, межелі орын, сәйкес келген NAT ережесі және нәтиже. Келесі есеп «VPN бұзылды» дегенде, бұл жұп бір минут ішінде қай тармақтың нашарлағанын айтады, ал жауап әдетте маршрут немесе селектор болады, бәрі бірінші күдіктенетін сол интерфейс жолы емес.

Қатысты мақалалар