VPN ಟ್ರಾಫಿಕ್‌ಗಾಗಿ ASA identity NAT ಮತ್ತು IOS NAT ಹೊರತುಪಡಿಸುವಿಕೆ

ಒಂದು ಶಾಖೆ ಒಂದೇ Cisco ಗೇಟ್‌ವೇ ಮೇಲೆ ಇಂಟರ್ನೆಟ್ PAT ಮತ್ತು ಸೈಟ್-ಟು-ಸೈಟ್ VPN ಅನ್ನು ನಡೆಸುತ್ತದೆ, ಮತ್ತು NAT ಸೇರಿಸಿದ ಕ್ಷಣ VPN ಕೆಲಸ ಮಾಡುವುದನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ. ಸುರಂಗದ ಒಳಗಿನ ವಿಳಾಸಗಳು crypto ACL ರಕ್ಷಿಸುವುದರೊಂದಿಗೆ ಹೊಂದಿಕೆಯಾಗುವುದಿಲ್ಲ, ಅಥವಾ ಎದುರು ಪಕ್ಷಕ್ಕೆ ಮಾರ್ಗವಿಲ್ಲದ ಅನುವಾದಿತ ವಿಳಾಸಗಳು ಕಾಣುತ್ತವೆ. Cisco ಇದನ್ನು ಎರಡು ಕಡೆ ಬಗೆಹರಿಸುತ್ತದೆ: ASA ವಿಳಾಸವನ್ನು ಅದಕ್ಕೇ ನಕ್ಷೆ ಮಾಡುವ NAT ನಿಯಮವನ್ನು ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ, IOS ಮಾತ್ರ ACL deny ಮೂಲಕ ಹರಿವನ್ನು ಅನುವಾದ ನಿಯಮದ ಹೊರಗೆ ಇಡುತ್ತದೆ. ಎರಡೂ ಮೂಲ ವಿಳಾಸಗಳನ್ನು ಉಳಿಸುತ್ತವೆ, ಮತ್ತು ಯಾವುದೂ NAT ಸಂಸ್ಕರಣೆಯನ್ನು ಬೈಪಾಸ್ ಮಾಡುವುದಿಲ್ಲ.

ನಿಯಮ ಆಯ್ಕೆ ಮಾಡುವ ಮೊದಲು ಹರಿವನ್ನು ದಾಖಲಿಸಿ

ನೀವು ರಕ್ಷಿಸಲು ಬಯಸುವ ಹರಿವನ್ನು ಬರೆಯುವುದರಿಂದ ಪ್ರಾರಂಭಿಸಿ: ಸ್ಥಳೀಯ LAN ಮೂಲ, ದೂರದ ಗಮ್ಯ ಮತ್ತು IPsec ನೀತಿ ರಕ್ಷಿಸುವ ನಿಖರ ವಿಳಾಸ ಜೋಡಿ. ನಿಯಮ ಸಂಪಾದಿಸುವ ಮೊದಲು ಇದನ್ನು ಮಾಡಿ, ಏಕೆಂದರೆ ಈ ಗುಂಪು ಯಾವ ವರ್ಗೀಕರಣ ಅಥವಾ NAT ನಿಯಮ ಹೊಂದಿಕೆಯಾಗಬೇಕಿತ್ತು ಎಂಬುದನ್ನು ತೋರಿಸುತ್ತದೆ.

ನಂತರ ನೀವು ಉದ್ದೇಶಿಸಿದ ನಿಯಮವಲ್ಲ, ವಾಸ್ತವವಾಗಿ ಹೊಂದಿಕೆಯಾದ ನಿಯಮವನ್ನು ಹುಡುಕಿ. ಎರಡೂ ಪ್ಲಾಟ್‌ಫಾರ್ಮ್‌ಗಳಲ್ಲಿ NAT ಒಂದು ಕ್ರಮದಲ್ಲಿ ಮೌಲ್ಯಮಾಪನವಾಗುತ್ತದೆ, ಮತ್ತು ನಿಮ್ಮ ಹೊರತುಪಡಿಸುವಿಕೆ ಪರಿಶೀಲನೆಗೆ ಮೊದಲೇ ಹಿಂದಿನ ನಿಯಮ ಗೆಲ್ಲಬಹುದು. ಸರಿಯಾಗಿ ಕಾಣುವ ಹೊರತುಪಡಿಸುವಿಕೆ ಇನ್ನೊಂದು ನಿಯಮಕ್ಕೆ ಸೋತರೆ ನಿರೀಕ್ಷಿತ ಪ್ಯಾಕೆಟ್ ಎಂದೂ ರಕ್ಷಣಾ ನೀತಿಗೆ ತಲುಪುವುದಿಲ್ಲ. ಲಕ್ಷಣ ಕಾಣೆಯಾದ ಹೊರತುಪಡಿಸುವಿಕೆಯಂತೆಯೇ ಇರುತ್ತದೆ, ಆದ್ದರಿಂದ ಸಂರಚನೆ ಬದಲಿಸುವ ಮೊದಲು ನಿಯಮಗಳ ಕ್ರಮ ಓದಬೇಕು.

ASA identity NAT ಒಂದು ನಿಯಮ, ಬೈಪಾಸ್ ಅಲ್ಲ

ASA ನಲ್ಲಿ identity NAT ಎಂದರೆ ಅನುವಾದಿತ ವಿಳಾಸವು ಮೂಲ ವಿಳಾಸಕ್ಕೆ ಸಮನಾಗಿರುವ NAT ನಿಯಮ. ಅದು ಬೇರೆ ಯಾವುದೇ ನಿಯಮದಂತೆ ಆಯ್ಕೆಯಾಗುತ್ತದೆ ಮತ್ತು ಇನ್ನೂ ಅನುವಾದ ನಮೂದನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಪ್ಯಾಕೆಟ್ NAT ಸಂಸ್ಕರಣೆಯನ್ನು ಬಿಟ್ಟುಬಿಡುವುದಿಲ್ಲ. ಬದಲಾಗುವುದು ಜಾಲದಲ್ಲಿನ ವಿಳಾಸಗಳು ಹಾಗೆಯೇ ಉಳಿಯುತ್ತವೆ ಎಂಬುದು, ಮತ್ತು IPsec ನೀತಿಗೆ ಅದೇ ಬೇಕು.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

ನಿಯಮದ ಇಂಟರ್‌ಫೇಸ್‌ಗಳು ಮತ್ತು ಅದರ route-lookup ಸೆಟ್ಟಿಂಗ್ ಮುಂದುಗಡೆ ಸಾಗಣೆ ವಿನ್ಯಾಸಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗಬೇಕು. ವಿಳಾಸವನ್ನು ಸರಿಯಾಗಿ ನಕ್ಷೆ ಮಾಡುವ ಆದರೆ ತಪ್ಪು ಇಂಟರ್‌ಫೇಸ್ ಜೋಡಿಗೆ ಅನ್ವಯವಾಗುವ ನಿಯಮ ನಿಮ್ಮ ಹರಿವಿಗೆ ಆಯ್ಕೆಯಾಗುವುದಿಲ್ಲ. Route-lookup ಅನುವಾದಿತ ಪ್ಯಾಕೆಟ್ ಮಾರ್ಗವಾಗುತ್ತದೆಯೇ ಅಥವಾ ಮೂಲ ಗಮ್ಯ ಬಳಕೆಯಾಗುತ್ತದೆಯೇ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಅದು ಮರಳುವ ಸಂಚಾರ ಸುರಂಗದ ಮೂಲಕ ಬರುತ್ತದೆಯೇ ಎಂಬುದನ್ನು ನಿರ್ಣಯಿಸುತ್ತದೆ.

ASA ತಾನೇ ನಿರ್ವಹಣಾ ಪ್ರವೇಶ ಬೇರೆ ಪ್ರಕರಣ. ನಿರ್ವಹಣಾ ಸಂಚಾರಕ್ಕೆ identity NAT ಬಳಸಿದರೆ, ಆವೃತ್ತಿ-ನಿರ್ದಿಷ್ಟ route-lookup ಅಗತ್ಯ ಅನ್ವಯವಾಗುತ್ತದೆ, ಮತ್ತು VPN ಉದಾಹರಣೆಯಿಂದ ನಕಲಿಸಿದ ವಿಶಾಲ ಹೊರತುಪಡಿಸುವಿಕೆ SSH ಸರಿಪಡಿಸುವುದಿಲ್ಲ.

IOS NAT ACL ನಲ್ಲಿ deny ಎಂದರೆ ಇಲ್ಲಿ ಆಯ್ಕೆಯಾಗಿಲ್ಲ

IOS ನಲ್ಲಿ ಇಂಟರ್ನೆಟ್ NAT ಮೂಲ ಪಟ್ಟಿಯಿಂದ ನಿಯಂತ್ರಿತವಾಗುತ್ತದೆ, ಮತ್ತು ಆ ACL ಫಿಲ್ಟರ್ ಅಲ್ಲ, ವರ್ಗೀಕರಣ. Permit ಸಾಲು ಅನುವಾದಕ್ಕೆ ಸಂಚಾರ ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ; deny ಸಾಲು ಪ್ಯಾಕೆಟ್ ಇಲ್ಲಿ ಆಯ್ಕೆಯಾಗಿಲ್ಲ ಎಂದರ್ಥ. ಆ deny ಇಂಟರ್‌ಫೇಸ್ ACL ನ deny ನಂತೆ ಪ್ಯಾಕೆಟ್ ಎಸೆಯುವ ಆದೇಶವಲ್ಲ.

ಇಲ್ಲಿ ಆಯ್ಕೆಯಾಗಿಲ್ಲ ಎಂಬುದು ಎಲ್ಲೂ ಅನುವಾದವಾಗಿಲ್ಲ ಎಂಬುದಕ್ಕಿಂತ ಸಂಕುಚಿತವೂ ಹೌದು. ಇನ್ನೊಂದು NAT ನಿಯಮ, ಇನ್ನೊಂದು ಇಂಟರ್‌ಫೇಸ್ ಅಥವಾ route-map ಹರಿವನ್ನು ಇನ್ನೂ ಅನುವಾದಿಸಬಹುದು, ಆದ್ದರಿಂದ ಇಡೀ NAT ಕೋಷ್ಟಕ ಓದಬೇಕು. ಪ್ಯಾಕೆಟ್‌ಗೆ ಇನ್ನೂ ಮಾರ್ಗ, ಹೊಂದುವ crypto ACL ಮತ್ತು ನಿಜವಾದ ಪ್ರವೇಶ-ನಿಯಂತ್ರಣ ಗಡಿಗಳಲ್ಲಿ ಅನುಮತಿ ಬೇಕು.

ಕನಿಷ್ಠ IOS ವ್ಯವಸ್ಥೆ deny ಅನ್ನು ಅದೇ ಪಟ್ಟಿಯಲ್ಲಿ permit ನ ಮೇಲೆ ಇಡುತ್ತದೆ ಮತ್ತು overload ನಿಯಮವನ್ನು ಆ ಪಟ್ಟಿಗೆ ತೋರಿಸುತ್ತದೆ. ಆಗ crypto ACL deny ಅನುವಾದದಿಂದ ಹೊರಗಿಡುವ ಅದೇ ಜೋಡಿಯನ್ನು ರಕ್ಷಿಸುತ್ತದೆ.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

ಎರಡೂ ಮಾದರಿಗಳಿಗೆ ಒಂದು ಪರೀಕ್ಷಿಸಬಹುದಾದ ಪ್ರಶ್ನೆ

ಎರಡೂ ಮಾದರಿಗಳು ಒಂದೇ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತವೆ: ಈ ಹರಿವಿಗೆ ಯಾವ ನಿಯಮ ಹೊಂದಿಕೆಯಾಯಿತು, ಮತ್ತು ಯಾವ ವಿಳಾಸಗಳು ಇಂಟರ್‌ಫೇಸ್ ಬಿಟ್ಟವು? ಹೊರ ಇಂಟರ್‌ಫೇಸ್‌ನಲ್ಲಿ ಸೆರೆಹಿಡಿದು ಗೇಟ್‌ವೇ ಮೊದಲು ಮತ್ತು ನಂತರದ ಮೂಲ ವಿಳಾಸವನ್ನು ಹೋಲಿಸಿ. ನಂತರ ಸುರಂಗದ ಬಗ್ಗೆ ಎದುರು ಪಕ್ಷದ ದೃಷ್ಟಿಯನ್ನು ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ SA ಎದ್ದಿದ್ದರೂ ರಕ್ಷಿತ ಹರಿವು ಬೇರೆಡೆ ಅನುವಾದವಾಗಬಹುದು.

ASA ನಲ್ಲಿ nat detail ಮತ್ತು ಅನುವಾದ ಕೋಷ್ಟಕ ತೋರಿಸಿ; IOS ನಲ್ಲಿ ip nat translations ಮತ್ತು ಸಂಬಂಧಿತ ACL ಎಣಿಕೆಗಳನ್ನು ತೋರಿಸಿ. ಎಂದೂ ಹೆಚ್ಚದ ನಿಯಮ ಎಂದೂ ಆಯ್ಕೆಯಾಗಿಲ್ಲ, ಮತ್ತು ಅದು crypto ಸಂರಚನೆಯಲ್ಲ, ಕ್ರಮ, ಇಂಟರ್‌ಫೇಸ್ ಅಥವಾ ದಿಕ್ಕನ್ನು ಸೂಚಿಸುತ್ತದೆ.

ಸಂರಚನೆ ಸಾಮಾನ್ಯವಾಗಿ ಎಲ್ಲಿ ತಪ್ಪುತ್ತದೆ

ಸಾಮಾನ್ಯ ವೈಫಲ್ಯಗಳು ಯಾಂತ್ರಿಕ. deny permit ನ ಕೆಳಗೆ ಇರುತ್ತದೆ ಮತ್ತು ಎಂದೂ ಹೊಂದಿಕೆಯಾಗುವುದಿಲ್ಲ. ವರ್ಗೀಕರಣ ತಪ್ಪು ದಿಕ್ಕಿನಲ್ಲಿ ಅನ್ವಯವಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಮರಳುವ ಹರಿವು ಅನುವಾದವಾಗುತ್ತದೆ. Identity ನಿಯಮ ಸರಿಯಾದ ವಿಳಾಸಗಳನ್ನು ಆದರೆ ತಪ್ಪು ಇಂಟರ್‌ಫೇಸ್ ಜೋಡಿಯನ್ನು ಆವರಿಸುತ್ತದೆ. Crypto ACL NAT ನಿಯಮ ಒದಗಿಸುವುದರೊಂದಿಗೆ ಇನ್ನು ಹೊಂದಿಕೆಯಾಗದ ಸಬ್‌ನೆಟ್ ರಕ್ಷಿಸುತ್ತದೆ.

ನಿಯಮದ ಮಾಲೀಕರ ಪಕ್ಕದಲ್ಲಿ ಮೂಲ ಮತ್ತು ಒದಗಿಸಿದ ವಿಳಾಸ ಜೋಡಿಯನ್ನು ದಾಖಲಿಸಿ, ಮುಂದಿನ ಎಂಜಿನಿಯರ್ ವರ್ಗೀಕರಣ ಅನುವಾದವನ್ನು ಏಕೆ ನಿರಾಕರಿಸುತ್ತದೆ ಆದರೆ ಫೈರ್‌ವಾಲ್ ಅಪ್ಲಿಕೇಶನ್‌ಗೆ ಅನುಮತಿ ನೀಡುತ್ತದೆ ಎಂಬುದನ್ನು ನೋಡಬಹುದು. ಅದನ್ನು ವೈಯಕ್ತಿಕ ಟಿಪ್ಪಣಿಯಲ್ಲಿ ಅಲ್ಲ, ಬದಲಾವಣೆ ಟಿಕೆಟ್‌ನಲ್ಲಿ ಇಡಿ. ನಂತರ ಯಾವುದೇ NAT ಬದಲಾವಣೆಯ ನಂತರ ಹರಿವನ್ನು ಮತ್ತೆ ಚಲಾಯಿಸಿ, ಏಕೆಂದರೆ ನಿಯಮದ ಪಠ್ಯ ಬದಲಾಗದಿದ್ದರೂ ನಿಯಮಗಳ ಕ್ರಮ ಸಂರಚನೆಯ ಭಾಗ. ಮೇಲೆ ಬರುವ ಸುರಂಗ ವಿಳಾಸಗಳು ಉಳಿದವು ಎಂಬುದಕ್ಕೆ ಸಾಕ್ಷಿಯಲ್ಲ; ಸೆರೆಹಿಡಿದ ಪ್ಯಾಕೆಟ್ ಮತ್ತು ಎದುರು ಪಕ್ಷದ ಡಿಕ್ಯಾಪ್ಸುಲೇಶನ್ ನಂತರದ ದೃಷ್ಟಿ ಮಾತ್ರ ಸಾಕ್ಷಿ.