VPN трафигі үшін ASA identity NAT және IOS NAT ерекшелігі

Cisco шлюздерінде ASA identity NAT та, IOS NAT классификаторының ерекшелігі де VPN мекенжайларын сақтайды. Ережелер аударманың қай жерде өткізіліп кететінімен ерекшеленеді.

Филиал интернет PAT пен сайт аралық VPN-ды бір Cisco шлюзінде ұстайды және NAT қосылған сәтте VPN жұмысын тоқтатады. Туннель ішіндегі мекенжайлар crypto ACL қорғайтын мекенжайларға сәйкес келмейді, немесе қарсы жақ маршруты жоқ аударылған мекенжайларды көреді. Cisco мұны екі жерде шешеді: ASA мекенжайды өзіне көшіретін NAT ережесін таңдайды, ал IOS ACL ішіндегі deny арқылы ағынды аударма ережесінен тыс ұстайды. Екеуі де бастапқы мекенжайларды сақтайды және ешқайсысы NAT өңдеуін айналып өтпейді.

Ереже таңдамас бұрын ағынды жазып алыңыз

Қорғағыңыз келетін ағынды жазудан бастаңыз: жергілікті LAN көзі, қашықтағы межелі жер және IPsec саясаты қорғайтын нақты мекенжай жұбы. Мұны ережені өңдеуден бұрын жасаңыз, өйткені бұл жиынтық қандай классификатор немесе NAT ережесі сәйкес келуі керектігін көрсетеді.

Содан кейін көздеген ережені емес, шын мәнінде сәйкес келген ережені табыңыз. Екі платформада да NAT белгілі ретпен бағаланады және сіздің ерекшелігіңіз қаралмай тұрып, бұрынғы ереже жеңуі мүмкін. Дұрыс көрінетін, бірақ басқа ережеге жол беретін ерекшелік күтілетін пакетті қорғау саясатына ешқашан бермейді. Симптом жоқ ерекшелікпен бірдей, сондықтан конфигурацияны өзгерту алдында ережелер ретін оқу керек.

ASA identity NAT — бұл ереже, айналып өту емес

ASA-да identity NAT — аударылған мекенжайы бастапқыға тең NAT ережесі. Ол кез келген басқа ереже сияқты таңдалады және аударма жазбасын орнатады, сондықтан пакет NAT өңдеуін өткізіп жібермейді. Өзгеретіні — желідегі мекенжайлар сол күйінде қалады, ал IPsec саясатына дәл осы қажет.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Ереженің интерфейстері мен оның route-lookup параметрі жіберу жобасына сай болуы керек. Мекенжайды дұрыс көшіретін, бірақ қате интерфейс жұбына қолданылатын ереже сіздің ағыныңыз үшін таңдалмайды. Route-lookup аударылған пакеттің маршрутталуын немесе бастапқы межелі жердің пайдаланылуын шешеді, ал бұл қайтарым трафигінің туннель арқылы оралуын анықтайды.

ASA-ның өзіне басқару қатынауы жеке жағдай. Басқару трафигі үшін identity NAT қолдансаңыз, шығарылымға тәуелді route-lookup талабы қолданылады, ал VPN мысалынан көшірілген кең ерекшелік SSH-ды түзетпейді.

IOS NAT ACL ішіндегі deny мұнда таңдалмаған дегенді білдіреді

IOS-та интернет NAT көздер тізімімен басқарылады және бұл ACL сүзгі емес, классификатор. Permit жолы трафикті аудармаға таңдайды; deny жолы пакеттің мұнда таңдалмағанын білдіреді. Бұл deny интерфейс ACL-індегі deny сияқты пакетті тастау бұйрығы емес.

Мұнда таңдалмаған еш жерде аударылмағаннан да тар. Басқа NAT ережесі, басқа интерфейс немесе route-map ағынды әлі де аудара алады, сондықтан бүкіл NAT кестесін оқу керек. Пакетке әлі де маршрут, сәйкес crypto ACL және нақты қатынауды бақылау шекараларында рұқсат қажет.

Минималды IOS орналасуы deny-ді сол тізімдегі permit-тен жоғары қояды және overload ережесін сол тізімге бағыттайды. Сонда crypto ACL deny аудармадан шығарған жұптың өзін қорғайды.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Екі модель үшін бір тексерілетін сұрақ

Екі модель де бір сұраққа жауап береді: осы ағынға қай ереже сәйкес келді және қандай мекенжайлар интерфейстен шықты? Сыртқы интерфейсте түсіріп, көз мекенжайын шлюзге дейін және кейін салыстырыңыз. Содан кейін қарсы жақтың туннельге көзқарасын тексеріңіз, өйткені SA көтерілген күйде болуы мүмкін, ал қорғалатын ағын басқа жерде аударылып жатса.

ASA-да nat detail және аудармалар кестесін көрсетіңіз; IOS-та ip nat translations және сәйкес ACL есептегіштерін көрсетіңіз. Ешқашан өспейтін ереже ешқашан таңдалмаған, ал бұл crypto конфигурациясына емес, ретке, интерфейске немесе бағытқа нұсқайды.

Конфигурация әдетте қай жерде қателеседі

Жиі кездесетін ақаулар механикалық. deny permit-тен төмен тұр және ешқашан сәйкес келмейді. Классификатор қате бағытта қолданылады, сондықтан қайтарым ағыны аударылады. Identity ережесі дұрыс мекенжайларды, бірақ қате интерфейс жұбын қамтиды. Crypto ACL NAT ережесі ұсынғанға енді сәйкес келмейтін қосалқы желіні қорғайды.

Бастапқы және ұсынылған мекенжай жұбын ереже иесінің қасына жазыңыз, сонда келесі инженер классификатордың неге аудармадан бас тартатынын, ал firewall қолданбаға рұқсат беретінін көреді. Мұны жеке жазбада емес, өзгеріс билетінде сақтаңыз. Содан кейін әрбір NAT өзгерісінен кейін ағынды қайта іске қосыңыз, өйткені ереже мәтіні өзгермесе де ережелер реті конфигурацияның бөлігі. Көтерілген туннель мекенжайлардың сақталғанын дәлелдемейді; тек түсірілген пакет пен қарсы жақтың декапсуляциядан кейінгі көрінісі дәлел.

Қатысты мақалалар