Split туннелі жалпыға ортақ хостты ASA NAT ережелерінен босатпайды

Split туннельдеу әдетте корпоративтік трафикті туннель ішінде, ал интернеттің қалған бөлігін firewall сыртында ұстау тәсілі ретінде сипатталады. Бұл сипаттаманың екі жартысы да бірдей қате. Split туннельдеу — клиент қабылдайтын маршрут шешімі, ал маршрут шешімі пакет headend-ке жеткеннен кейін не болатыны туралы ештеңе айтпайды.

Жалпыға ортақ мекенжай бойынша бас кеңсеміздің мекенжайын көруді талап ететін бір серіктестік қызмет осы әңгімені бұзуға жеткілікті.

Аңыз: split туннель firewall-ды жолдан шығарады

Сенім — жеке диапазондардан тыс кез келген межелі орын жергілікті интернет қосылымында қалады, сондықтан firewall оны ешқашан көрмейді және оған ешқашан ереже қажет емес. Бұл межелі орын туннель тізімінде болмағанша ғана дұрыс. Оператор жалпыға ортақ хостты split-include ACL-ге қосқан сәтте клиент бұл трафикті туннельге жібереді, ал ASA оны кез келген басқа дешифрленген ағын сияқты маршруттау, сүзу және аудару керек. Клиентте межелі орындар тізімінен басқа ештеңе өзгерген жоқ.

Клиент маршрутизатор болып қалмады. Ол сіз берген саясатты орындады.

split-include маршруты шын мәнінде не істейді

Cisco ASA қашықтан қатынау конфигурациясында топтық саясат split-tunnel-policy tunnelspecified және стандартты ACL атайтын split-tunnel-network-list алып жүреді. Осы ACL-дегі әрбір permit жолы — клиент туннельге жіберуі тиіс межелі орын, ал қалғанының бәрі жергілікті әдепкі маршрутты пайдалануды жалғастырады.

Бір хост қосу — бір жол, және бұл өзгерістің клиент көре алатын жалғыз бөлігі: access-list RA-SPLIT standard permit host 203.0.113.20.

Одан кейін клиентті қайта қосыңыз. Саясат қосылу кезінде алмасады, сондықтан орнатылған сессия ескі тізімді сақтайды және өзгеріс ештеңе істемегендей көрінеді.

Пакет сол интерфейстен кіреді және шығады

Енді дешифрлеуден кейінгі ағынды бақылаңыз. Пакет VPN туннелі арқылы сыртқы интерфейске кірді, оның межелі орны — жалпыға ортақ мекенжай, ал маршруттау кестесі оны сол сыртқы интерфейстен интернетке қарай қайта жібереді. Бір интерфейске кіріп, шығатын трафик ASA рұқсат етпесе тасталады, және мұны same-security-traffic permit intra-interface жасайды. Онсыз қосылым маршруттау мәселесіне ұқсайтын, бірақ олай болмайтын түрде сәтсіз аяқталады.

Бұл параметр ғаламдық. Ол қажет әрбір ағынға hairpinning рұқсат етеді, тек осы серіктестік хостқа ғана емес, сондықтан ол жылдам тестіге емес, қаралған өзгеріске тиесілі.

Неге межелі орынмен шектелген PAT міндетті

Дешифрленген пакеттің көз мекенжайы әлі де клиенттің VPN мекенжайы, әдетте 10.77.0.0/24 тәрізді пулдан. Бұл мекенжайдың жалпыға ортақ интернетте маршруты жоқ, сондықтан серіктес не ешқашан жауап бермейді, не еш жерге жауап береді.

Аудару көзді түзетеді және межелі орынды тимей қалдырады. Нысандар басқа жерде анықталғандықтан, осы межелі орынмен шектелген қолмен жасалған ереженің пішіні мынадай:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

destination static бөлігі маңызды. Оны алып тастасаңыз, ереже көзделгеннен әлдеқайда көп трафикке сәйкес келуі мүмкін кең аудармаға айналады, ал ретте ертерек тұрған кең identity ережесі мұны толығымен жеңуі мүмкін. Өз ережеңіз сәйкес келеді деп ойламас бұрын show nat detail және бөлімдер ретін тексеріңіз.

Интерфейс PAT сонымен қатар серіктес ASA интерфейсінің мекенжайын көретінін білдіреді, ол жоғары ағында қайта аударылуы мүмкін. Келісім мекенжайды атаса, оны бір секірісте емес, ұшынан ұшына растаңыз.

Дұрыс сынақ межелі орнымен дәлелдеңіз

Жалпы what-is-my-ip бетін емес, серіктестік хосттың өзін пайдаланыңыз. Ол бет split тізімінен тыс болуы ықтимал, сондықтан ол жергілікті интернет мекенжайыңызды хабарлайды және бұл жол туралы ештеңе айтпайды. Серіктестік қызметке жаңа қосылым ашып, олар қандай көзді байқағанын сұраңыз, немесе packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed іске қосып, NAT және маршруттау кезеңдерін жол-жол оқыңыз. Клиенттен traceroute әлсіз тексеру, өйткені ол бұрын болған жолды көрсетеді, оны таңдаған саясатты емес.

Содан кейін ненің өзгермеуі керектігін тексеріңіз. Қарапайым веб-сайт әлі де жергілікті қосылымнан шығуы керек, ал туннель тізіміндегі жеке ресурс әлі де қолжетімді болуы керек. Серіктесті түзетіп, осы екеуінің бірін бұзатын өзгеріс — басқа қате.

Бұл дизайнның жұмыс істейтін нұсқасы қысқа: split ACL-де бір хост, hairpin рұқсаты, межелі орынмен шектелген бір PAT ережесі. Әңгімедегі қалғанының бәрі — аңыз.