ASA hairpin: ಇಂಟರ್ನೆಟ್ ನಿರ್ಗಮನ ಅಥವಾ ಸೈಟ್-ಟು-ಸೈಟ್ VPN ಲೆಗ್?

ಒಂದೇ ASA ಹಿಂದಿನ ಇಬ್ಬರು ರಿಮೋಟ್-ಆಕ್ಸೆಸ್ ಬಳಕೆದಾರರು ಒಂದೇ outer ಇಂಟರ್ಫೇಸ್‌ನಿಂದ ಟ್ರಾಫಿಕ್ ಕಳುಹಿಸಿ ಸಂಪೂರ್ಣ ವಿಭಿನ್ನ ನಡವಳಿಕೆ ಪಡೆಯಬಹುದು. ಒಬ್ಬರು ಸಾರ್ವಜನಿಕ ವೆಬ್‌ಸೈಟ್‌ಗೆ ಹೋಗುತ್ತಿದ್ದಾರೆ, ಆದ್ದರಿಂದ ಪ್ಯಾಕೆಟ್‌ಗೆ ಮೂಲ ಅನುವಾದ ಮತ್ತು ಇಂಟರ್ನೆಟ್ ರೂಟ್ ಬೇಕು. ಇನ್ನೊಬ್ಬರು ಸೈಟ್-ಟು-ಸೈಟ್ ಟನೆಲ್‌ನ ಹಿಂದಿನ ಸರ್ವರ್‌ಗೆ ಹೋಗುತ್ತಿದ್ದಾರೆ, ಆ ಟನೆಲ್ ಸಹ ಅದೇ ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ, ಆದ್ದರಿಂದ ಪ್ಯಾಕೆಟ್‌ಗೆ ಗುರುತು, ಹೊಂದಿಕೆಯಾಗುವ ಟನೆಲ್ ಸೆಲೆಕ್ಟರ್ ಮತ್ತು ಕ್ಲೈಂಟ್ ಪೂಲ್‌ಗೆ ಮರಳುವ ಮಾರ್ಗ ಬೇಕು. ಅದೇ ಇಂಟರ್ಫೇಸ್ ಅನುಮತಿ ಎರಡಕ್ಕೂ ಪೂರ್ವಭಾವಿ ಷರತ್ತು ಮತ್ತು ಯಾವುದಕ್ಕೂ ಪರಿಹಾರವಲ್ಲ.

ಎರಡು ಲೆಗ್, ಒಂದು ಇಂಟರ್ಫೇಸ್

NAT ನಿಯಮ ಬರೆಯುವ ಮೊದಲು ಯಾವ ಲೆಗ್ ನಿರ್ಮಿಸುತ್ತಿದ್ದೀರಿ ಎಂದು ನಿರ್ಧರಿಸಿ, ಏಕೆಂದರೆ ನಿಯಮಗಳು ಪರಸ್ಪರ ಬದಲಾಯಿಸಲಾಗದವು. ಲೆಗ್ A ಕ್ಲೈಂಟ್‌ನಿಂದ ಇಂಟರ್ನೆಟ್‌ಗೆ: ಪೂಲ್ ವಿಳಾಸ ಒಳಗೆ, ಅನುವಾದಿತ ಸಾರ್ವಜನಿಕ ವಿಳಾಸ ಹೊರಗೆ, ಅದೇ ಇಂಟರ್ಫೇಸ್ ಮೂಲಕ ಹಿಂತಿರುಗುತ್ತದೆ. ಲೆಗ್ B ಕ್ಲೈಂಟ್‌ನಿಂದ ಇನ್ನೊಂದು IPsec ಪೀರ್‌ನ ಆಚೆಯ ಖಾಸಗಿ ಪ್ರಿಫಿಕ್ಸ್‌ಗೆ: ಪೂಲ್ ವಿಳಾಸ ಸಂರಕ್ಷಿಸಲಾಗುತ್ತದೆ, ಮತ್ತೆ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಆಗುತ್ತದೆ ಮತ್ತು ಪೂಲ್‌ಗೆ ಹೇಗೆ ಉತ್ತರಿಸಬೇಕು ಎಂದು ತಿಳಿದಿರುವ ಪೀರ್‌ಗೆ ತಲುಪಿಸಲಾಗುತ್ತದೆ.

ಎರಡಕ್ಕೂ ಮೊದಲು ಬೇಕಾದದ್ದು ಅದೇ ಇಂಟರ್ಫೇಸ್ ಅನುಮತಿ. ಅದಿಲ್ಲದೆ ASA ಪ್ಯಾಕೆಟ್ ಬಂದ ಇಂಟರ್ಫೇಸ್‌ನಿಂದಲೇ ಅದನ್ನು ಮುಂದೆ ಕಳುಹಿಸಲು ನಿರಾಕರಿಸುತ್ತದೆ, ಮತ್ತು ವೈಫಲ್ಯ ನೀತಿ ಸಮಸ್ಯೆಯಂತಲ್ಲದೆ ರೂಟಿಂಗ್ ಸಮಸ್ಯೆಯಂತೆ ಕಾಣುತ್ತದೆ:

same-security-traffic permit intra-interface

ಆ ಒಂದು ಸಾಲು ಮುಂದೆ ಕಳುಹಿಸುವ ವ್ಯವಸ್ಥೆಗೆ ಅನುಮತಿ ನೀಡುತ್ತದೆ, ಎಂದು ASA NAT ಉಲ್ಲೇಖ ಅದೇ ಇಂಟರ್ಫೇಸ್ ಮಾರ್ಗಗಳಿಗೆ ವಿವರಿಸುತ್ತದೆ. ಅದು ಕ್ಲೈಂಟ್ ರೂಟ್ ಸೇರಿಸುವುದಿಲ್ಲ, ಸಂಪನ್ಮೂಲಕ್ಕೆ ಅನುಮತಿ ನೀಡುವುದಿಲ್ಲ, ವಿಳಾಸ ಅನುವಾದಿಸುವುದಿಲ್ಲ ಅಥವಾ IPsec ಸೆಲೆಕ್ಟರ್ ಮೇಲೆ ಮಾತುಕತೆ ನಡೆಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಅದರ ನಂತರ ಇನ್ನೂ ಮೂರು ಅಥವಾ ನಾಲ್ಕು ವಿಷಯಗಳನ್ನು ಸೇರಿಸುವ ನಿರೀಕ್ಷೆ ಇಟ್ಟುಕೊಳ್ಳಿ ಮತ್ತು ಅದರ ಸ್ವೀಕೃತಿಯನ್ನು ಪ್ರಗತಿ ಎಂದು ಓದಬೇಡಿ.

ಲೆಗ್ A: ಕ್ಲೈಂಟ್‌ಗೆ ಇಂಟರ್ನೆಟ್ ಬೇಕು

ಇಂಟರ್ನೆಟ್ ನಿರ್ಗಮನಕ್ಕೆ ಪ್ಯಾಕೆಟ್ ಸಾಧನ ಬಿಡುವ ಮೊದಲು ಪೂಲ್ ವಿಳಾಸ ಖಾಸಗಿಯಾಗಿರುವುದನ್ನು ನಿಲ್ಲಿಸಬೇಕು. ಸಾಮಾನ್ಯ PAT ವಿನ್ಯಾಸದಲ್ಲಿ ನಿಯಮವು ಪೂಲ್ ಅನ್ನು outer ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸಕ್ಕೆ ಅನುವಾದಿಸುತ್ತದೆ, ಮತ್ತು ಮರಳುವ ಸ್ಥಿತಿ ಕ್ಲೈಂಟ್‌ನ ಕಡೆಗಿನ ಹರಿವನ್ನು ಮರುಸ್ಥಾಪಿಸುತ್ತದೆ:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

ನಂತರ ಕ್ಲೈಂಟ್ ನಿಜವಾಗಿಯೂ ಆ ಟ್ರಾಫಿಕ್ ಸಾಗಿಸಲು ASA ಗೆ ಕೇಳಿದ್ದಾರೆ ಎಂದು ದೃಢೀಕರಿಸಿ. ಸ್ಪ್ಲಿಟ್-ಟನೆಲ್ ಹೊರತುಪಡಿಸುವಿಕೆ ಸಾರ್ವಜನಿಕ ಗಮ್ಯವನ್ನು ಫೋನ್‌ನ ಸ್ವಂತ ಸಂಪರ್ಕದ ಮೂಲಕ ಕಳುಹಿಸುತ್ತದೆ, ಅದು ASA ತಲುಪುವುದೇ ಇಲ್ಲ, ಮತ್ತು ಎಂದೂ ಕಳುಹಿಸದ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಯಾವುದೇ NAT ನಿಯಮ ಸರಿಪಡಿಸುವುದಿಲ್ಲ. ಗುಂಪು ನೀತಿಯ ಸ್ಪ್ಲಿಟ್-ಟನೆಲ್ ಪಟ್ಟಿಯನ್ನು ನೀವು ಪರೀಕ್ಷಿಸುತ್ತಿರುವ ಗಮ್ಯದೊಂದಿಗೆ ಹೋಲಿಸಿ.

ಲೆಗ್‌ನ ಉಳಿದ ಭಾಗ ಸಾಮಾನ್ಯ: outer ಇಂಟರ್ಫೇಸ್‌ನಿಂದ ಬಳಸಬಹುದಾದ ಡೀಫಾಲ್ಟ್ ಅಥವಾ ನಿರ್ದಿಷ್ಟ ರೂಟ್, ಹರಿವಿಗೆ ಅನುಮತಿ ನೀಡುವ ಪ್ರವೇಶ ನೀತಿ, ಮತ್ತು ನೀವು ಆಯ್ಕೆ ಮಾಡಿದ ರಿಜಾಲ್ವರ್ ನೀತಿಯ ಪ್ರಕಾರ ನಿರ್ವಹಿಸಲಾದ DNS. ಇಲ್ಲಿ route-lookup ಕೆಳಗಿನಂತೆಯೇ ಅದೇ ಕಾರಣಕ್ಕೆ ಸೇರಿಸಿ, ಏಕೆಂದರೆ ಪ್ರವೇಶ ಮತ್ತು ನಿರ್ಗಮ ಇಂಟರ್ಫೇಸ್‌ಗಳು ಒಂದೇ ರೀತಿಯವು.

ಲೆಗ್ B: ಕ್ಲೈಂಟ್‌ಗೆ ಖಾಸಗಿ ಸೈಟ್ ಬೇಕು

ಈ ಲೆಗ್ ಹೆಚ್ಚು ಸ್ಥಳಗಳಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಅದನ್ನು ಕ್ರಮವಾಗಿ ಬರೆಯಿರಿ. ಮೊದಲು ಕ್ಲೈಂಟ್ ರೂಟ್: ಗಮ್ಯ ಪ್ರಿಫಿಕ್ಸ್ ಸ್ಪ್ಲಿಟ್-ಟನೆಲ್ ಪಟ್ಟಿಯಲ್ಲಿರಬೇಕು, ಇಲ್ಲದಿದ್ದರೆ ಕ್ಲೈಂಟ್ ಅದನ್ನು ಟನೆಲ್‌ಗೆ ಹಾಕುವುದಿಲ್ಲ. ಎರಡನೆಯದು ಟನೆಲ್ ಸೆಲೆಕ್ಟರ್: ಸೈಟ್-ಟು-ಸೈಟ್ ಕ್ರಿಪ್ಟೋ ACL ಪೂಲ್ ವಿಳಾಸದಿಂದ ದೂರದ ಪ್ರಿಫಿಕ್ಸ್‌ವರೆಗೆ ಆವರಿಸಬೇಕು, ಸ್ಥಳೀಯ LAN ನಿಂದ ದೂರದ ಪ್ರಿಫಿಕ್ಸ್‌ವರೆಗೆ ಮಾತ್ರವಲ್ಲ. ಮೂರನೆಯದು ಗುರುತು, ಪೂಲ್ ವಿಳಾಸ ದಾರಿಯಲ್ಲಿ ಇಂಟರ್ನೆಟ್ PAT ಗೆ ಅನುವಾದವಾಗದಿರಲು.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

ದೂರದ ಬದಿ ಜನರು ಪರೀಕ್ಷಿಸಲು ಮರೆಯುವ ಭಾಗ. ಪೀರ್‌ಗೆ ಪೂಲ್‌ಗೆ ಮರಳುವ ರೂಟ್ ಮತ್ತು ಅದನ್ನು ಒಳಗೊಂಡ ಸೆಲೆಕ್ಟರ್ ಬೇಕು, ಮತ್ತು ಅದರ ಸ್ವಂತ ನೀತಿ ಅದು ನೋಡುವ ಮೂಲ ವಿಳಾಸಗಳಿಗೆ ಅನುಮತಿ ನೀಡಬೇಕು. ಸೈಟ್ ಬದಲಾಗಿ ಅನುವಾದಿತ ದೃಶ್ಯದ ಮೂಲಕ ಬಳಸಲ್ಪಟ್ಟರೆ, ಅದು ಮಾನ್ಯ ವಿನ್ಯಾಸ, ಆದರೆ ಆಗ ಎರಡೂ ಪೀರ್, ಎರಡೂ ಸೆಲೆಕ್ಟರ್ ಮತ್ತು ಎರಡೂ ರೂಟಿಂಗ್ ಕೋಷ್ಟಕಗಳು ಅನುವಾದಿತ ವಿಳಾಸಗಳ ಬಗ್ಗೆ ಒಪ್ಪಬೇಕು.

ನಿಯಮಗಳ ಕ್ರಮವನ್ನೂ ಪರಿಶೀಲಿಸಿ. ಗುರುತು ನಿಯಮದ ಮೇಲಿರುವ ವಿಶಾಲ PAT ನಿಯಮ ಗುರುತು ನಿಯಮವನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡುವ ಮೊದಲೇ ಖಾಸಗಿ ವಿನಿಮಯವನ್ನು ಅನುವಾದಿಸುತ್ತದೆ, ಮತ್ತು ಲಕ್ಷಣ NAT ದೋಷವಲ್ಲ, ಹೊಂದಿಕೆಯಾಗುವ SA ಇಲ್ಲದ ಸೈಟ್ ಟನೆಲ್ ಆಗಿರುತ್ತದೆ.

ನೀವು ಯಾವ ಲೆಗ್ ನಿರ್ಮಿಸಿದಿರಿ ಎಂದು ಹೇಳುವ ಪರೀಕ್ಷೆ

ಸಂರಚನೆಯನ್ನು ಓದಿ ನಿರೀಕ್ಷಿಸುವ ಬದಲು ASA ಯ ಸ್ವಂತ ಮಾರ್ಗ ಮೌಲ್ಯಮಾಪನ ಬಳಸಿ. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed ಒಂದು ಹರಿವಿಗೆ NAT ನಿರ್ಧಾರ, ರೂಟ್ ಮತ್ತು ACL ಫಲಿತಾಂಶ ತೋರಿಸುತ್ತದೆ; ಖಾಸಗಿ ಗಮ್ಯದೊಂದಿಗೆ ಅದನ್ನು ಪುನರಾವರ್ತಿಸಿ. NAT ಹಂತವು ಖಾಸಗಿಯಿಂದ ಖಾಸಗಿಗೆ ಹರಿವನ್ನು ಮರುಬರೆಯುತ್ತಿದ್ದರೆ, ಲೆಗ್ B ಬೇಕಿದ್ದ ಪ್ಯಾಕೆಟ್‌ಗೆ ನೀವು ಲೆಗ್ A ನಿರ್ಮಿಸಿದ್ದೀರಿ.

ಇನ್ನೂ ಎರಡು ಆಜ್ಞೆಗಳು ಕಂದಕವನ್ನು ಮುಚ್ಚುತ್ತವೆ. show nat detail packet-tracer ಅನುಸರಿಸಿದ ನಿಯಮ ಕ್ರಮವನ್ನು ಮುದ್ರಿಸುತ್ತದೆ, ಮತ್ತು show crypto ipsec sa ನೀವು ನಿರೀಕ್ಷಿಸುವ ಜೋಡಿಗೆ ಸೆಲೆಕ್ಟರ್ ಇದೆಯೇ ಎಂದು ತೋರಿಸುತ್ತದೆ. ಕಾಣೆಯಾದ SA ಸೆಲೆಕ್ಟರ್ ಅಥವಾ ಪೀರ್ ಸಂರಚನೆಯ ವಿಷಯ, NAT ನಿಯಮ ಸರಿಪಡಿಸಬಹುದಾದ ವಿಷಯವಲ್ಲ.

ಪ್ರತಿ ಲೆಗ್ ಅನ್ನು ಅದು ಸೇವೆ ಮಾಡುವ ಟ್ರಾಫಿಕ್‌ನಿಂದ ಪರಿಶೀಲಿಸಿ

ಲೆಗ್ A ಅನ್ನು ಕ್ಲೈಂಟ್‌ನ ಸಾಮಾನ್ಯ ಸಾರ್ವಜನಿಕ ಕೋರಿಕೆಯಿಂದ ಸ್ವೀಕರಿಸಿ, ಮತ್ತು ಲೆಗ್ B ಅನ್ನು ನಿಜವಾಗಿ ಅಸ್ತಿತ್ವದಲ್ಲಿರುವ ಖಾಸಗಿ ಸಂಪನ್ಮೂಲಕ್ಕೆ ಕೋರಿಕೆಯಿಂದ ಸ್ವೀಕರಿಸಿ. ನಂತರ ಪ್ರತಿಯೊಂದನ್ನು ನಿರಾಕರಿಸಲಾದ ಸಂಪನ್ಮೂಲದೊಂದಿಗೆ ಪುನರಾವರ್ತಿಸಿ, ಏಕೆಂದರೆ “ಅನುಮತಿಸಲಾಗಿದೆ” ಮತ್ತು “ಪ್ರವೇಶ ನೀತಿಯಿಂದ ಅನುಮೋದಿಸಲಾಗಿದೆ” ಒಂದೇ ಸಾಕ್ಷ್ಯವಲ್ಲ, ಮತ್ತು ಹಬ್‌ನಿಂದ ಹುಟ್ಟುವ ping ಕ್ಲೈಂಟ್ ಮಾರ್ಗಗಳಲ್ಲಿ ಯಾವುದನ್ನೂ ಅಭ್ಯಾಸ ಮಾಡುವುದಿಲ್ಲ.

ಟಿಕೆಟ್‌ನಲ್ಲಿ ಎರಡು ಪರೀಕ್ಷಾ ದಾಖಲೆಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಇರಿಸಿ: ಮೂಲ ವಿಳಾಸ, ಗಮ್ಯ, ಹೊಂದಿಕೆಯಾದ NAT ನಿಯಮ ಮತ್ತು ಫಲಿತಾಂಶ. ಮುಂದಿನ ವರದಿ “VPN ಮುರಿದಿದೆ” ಎಂದಾಗ, ಆ ಜೋಡಿ ಒಂದು ನಿಮಿಷದಲ್ಲಿ ಯಾವ ಲೆಗ್ ಹಿನ್ನಡೆದಿದೆ ಎಂದು ಹೇಳುತ್ತದೆ, ಮತ್ತು ಉತ್ತರ ಸಾಮಾನ್ಯವಾಗಿ ರೂಟ್ ಅಥವಾ ಸೆಲೆಕ್ಟರ್, ಎಲ್ಲರೂ ಮೊದಲು ಸಂದೇಹಿಸುವ ಅದೇ-ಇಂಟರ್ಫೇಸ್ ಸಾಲಲ್ಲ.