ASA VPN hairpin: екі туннельді бір интерфейс арқылы маршруттау

Қашықтағы пайдаланушының трафигі кірген ASA интерфейсінен шыға алады, бірақ hairpin рұқсаты, туннель ауқымы, NAT және ACL — төрт бөлек шешім.

Қашықтағы пайдаланушы ASA-ға қосылады, филиал артындағы хостты сұрайды, және ASA бұл сұранысты пайдаланушы кірген интерфейстің дәл өзінен шығарады. Мұның ешбір бөлігі екінші физикалық портты қажет етпейді. Қажет ететіні — адамдар бір шешімге біріктіретін төрт тәуелсіз шешім: hairpin жасауға рұқсат, дұрыс мекенжайларды қорғайтын туннель, уәде еткен көзді сақтайтын NAT саясаты және қызметті рұқсат ететін қатынау саясаты.

Бір пакет, екі туннель

Ағынды бақылаңыз, сонда операциялар тәртібі жұмбақ болудан қалады. Пакет қашықтан қатынау туннелінің ішінде келеді, шифры ашылады және клиент пулынан көз алатын қарапайым IP пакетіне айналады. Содан кейін ASA оны маршруттайды, сайттан сайтқа crypto ACL-мен салыстырады, қайта шифрлайды және сыртқы интерфейстен филиалға қарай жібереді.

Төмендегі мекенжайлар иллюстративті, бірақ пішін маңызды: көз — пул, ASA-ның ішкі LAN емес.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Осыдан екі нәрсе шығады. Клиентке филиал префиксіне маршрут өзінің қашықтан қатынау қосылымы арқылы керек, яғни split-tunnel немесе жіберілетін маршруттар тізімі оны қамтуы тиіс. Ал филиал трафикті 10.77.0.20 мекенжайына немесе сіздің NAT жобаңыз ауыстырған мекенжайға қалай қайтаратынын білуі керек.

Hairpin рұқсаты ғаламдық

Адамдар жүгінетін команда — same-security-traffic permit intra-interface. Ол трафикке бір интерфейстен кіріп, сол интерфейстен шығуға мүмкіндік береді, бұл дәл осы жолға қажет. Ол сонымен қатар ғаламдық параметр: оны қосу сол интерфейстен екі рет өтетін басқа ағындардың әрекетін өзгертеді.

Сондықтан ол жөндеу сессиясына емес, өзгеріс жазбасына жатады. Құрылғыда тағы не осы интерфейстің жолын ала алатынын және соның қандай да бірі алуы керек пе екенін сұраңыз. Қонақ желілері немесе қабаттасатын серіктес туннельдері бар қарбалас шетінде жауап автоматты түрде жоқ емес. Себебін параметрдің жанына жазыңыз, өйткені келесі инженер команданы табады, әңгімені емес.

Қорғау ауқымы мен NAT бөлек

Сайттан сайтқа туннель өзінің crypto ACL таңдағанын қорғайды. Егер бұл ACL көз ретінде ASA-ның ішкі қосымша желісін атаса, қашықтан қатынау пулы қорғалмаған және пакет не тасталады, не сәйкес келмейтін трафикке платформаның әрекетіне қарай ашық жіберіледі. Жоба пул мекенжайларын сақтаған кезде пулды қорғалған ағынға қосыңыз.

Содан кейін NAT пул мекенжайының сақталатынын шешеді. Identity NAT оны сақтайды, және филиал 10.77.0.20-ні көз ретінде көреді. Аударма шартты өзгертеді: филиал енді трафикті аударылған мекенжайға қайтарады, ал оның өз саясаты мұны қабылдауға тиіс. Ережелер тәртібі crypto ACL аудармаға дейін немесе одан кейін сәйкес келетінін шешеді, сондықтан қайсысы жеңетінін болжамай, нақты ағынды оқыңыз.

Бір транзит жағдайы жұмыс істеуі үшін интернеттің жалпы PAT ережелерін жоймаңыз. Мақсатты ерекшелік немесе әдейі identity ережесі түсіндіруге және кері қайтаруға шығыс саясатындағы тесіктен оңай.

Шифрлау — авторизация емес

Жұмыс істеп тұрған туннель тек екі тараптың кілттер мен селекторлар туралы келіскенін дәлелдейді. Ол бұл пайдаланушының сол қызметке жете алатыны туралы ештеңе айтпайды. Қашықтан қатынау қосылымына байланған VPN сүзгісі немесе топ саясаты әлі де филиал межелісі мен портына рұқсат беруі керек, ал сыртқы жолдағы интерфейс ACL әлі де қолданылады.

Жауапты екі бағытта да тексеріңіз. Көршілес қызмет сәтсіз болуы тиіс кезде сәтті болған қосылым бір сәтті ping-нен гөрі ақпараттырақ, өйткені саясаттың ашық емес, таңдамалы екенін көрсетеді. Егер тыйым салынуы тиіс тест сәтті болса, кінәлі туннель емес, саясат. Екі нәтижені де өзгеріс жазбасында сақтаңыз, сонда келесі адам қандай әрекет көзделгенін біледі.

Hairpin немесе екінші интерфейс

Hairpin транзиті жобаны шағын ұстайды және бір ғаламдық параметрге тұрады. Бөлек интерфейс немесе өзінің виртуалды интерфейсі бар маршруттық туннель транзит жолын оқшаулайды және интерфейс бойынша саясат береді, бірақ мекенжайлау мен тағы бір crypto map немесе профиль қажет. Ешқайсысы дұрысырақ емес; олар түрліше сәтсіздікке ұшырайды.

Маршруттық жобалар — басқа орналасу, сол конфигурациядағы құсбелгі емес. Егер сондайға көшсеңіз, жоғарыдағы саясатқа негізделген crypto ACL талқылауы қолданылуын тоқтатады және маршруттау кестесі таңдау жұмысын бастайды.

Нақты клиенттен тексеріңіз

ASA-дан іске қосылған зондтың көз мекенжайы басқа және пулдан филиалға дейінгі жолды өтпейді. Бес элементті тексеру үшін packet-tracer қолданыңыз, содан кейін нақты қашықтағы клиенттен шынайы қосылым ашыңыз, өйткені іздеуші тек имитациялайды және клиенттің өз маршруттауы мен саясатын алмастырмайды.

Жоспарланған өзгерістен кейін жұмыс істеуі тиіс қызметке қосылыңыз, содан кейін қабылданбауы тиіс қызметке, содан соң филиалдың қайтару маршрутын растаңыз. Cisco-тың VPN hairpin NAT мысалдары intra-interface рұқсатын, NAT пен ACL-ді көрінетіндей бөлек ұстайды және бұл көшіруге тұрарлық ой үлгісі.

Қатысты мақалалар