ASA VPN hairpin: ಒಂದೇ ಇಂಟರ್ಫೇಸ್ ಮೂಲಕ ಎರಡು ಟನೆಲ್‌ಗಳ ರೂಟಿಂಗ್

ಒಬ್ಬ ರಿಮೋಟ್ ಬಳಕೆದಾರ ASA ಗೆ ಸಂಪರ್ಕಿಸುತ್ತಾನೆ, ಶಾಖೆಯ ಹಿಂದಿನ ಹೋಸ್ಟ್ ಅನ್ನು ಕೇಳುತ್ತಾನೆ, ಮತ್ತು ASA ಆ ವಿನಂತಿಯನ್ನು ಬಳಕೆದಾರರು ಬಂದ ಅದೇ ಇಂಟರ್ಫೇಸ್‌ನಿಂದ ಹೊರಗೆ ಕಳುಹಿಸುತ್ತದೆ. ಅದರಲ್ಲಿ ಯಾವುದಕ್ಕೂ ಎರಡನೇ ಭೌತಿಕ ಪೋರ್ಟ್ ಬೇಕಿಲ್ಲ. ಬೇಕಾಗಿರುವುದು ನಾಲ್ಕು ಸ್ವತಂತ್ರ ನಿರ್ಣಯಗಳು, ಅವುಗಳನ್ನು ಜನರು ಸಾಮಾನ್ಯವಾಗಿ ಒಂದಾಗಿ ಸೇರಿಸುತ್ತಾರೆ: hairpin ಮಾಡಲು ಅನುಮತಿ, ಸರಿಯಾದ ವಿಳಾಸಗಳನ್ನು ರಕ್ಷಿಸುವ ಟನೆಲ್, ನೀವು ಭರವಸೆ ನೀಡಿದ ಮೂಲವನ್ನು ಉಳಿಸಿಕೊಳ್ಳುವ NAT ನೀತಿ, ಮತ್ತು ಸೇವೆಯನ್ನು ಅಧಿಕೃತಗೊಳಿಸುವ ಪ್ರವೇಶ ನೀತಿ.

ಒಂದು ಪ್ಯಾಕೆಟ್, ಎರಡು ಟನೆಲ್‌ಗಳು

ಹರಿವನ್ನು ಅನುಸರಿಸಿ ಮತ್ತು ಕಾರ್ಯಾಚರಣೆಗಳ ಕ್ರಮ ನಿಗೂಢವಾಗಿರುವುದನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ. ಪ್ಯಾಕೆಟ್ ರಿಮೋಟ್-ಆಕ್ಸೆಸ್ ಟನೆಲ್ ಒಳಗೆ ಬರುತ್ತದೆ, ಡಿಕ್ರಿಪ್ಟ್ ಆಗುತ್ತದೆ ಮತ್ತು ಕ್ಲೈಂಟ್ ಪೂಲ್‌ನಿಂದ ಮೂಲವನ್ನು ಪಡೆದ ಸಾಮಾನ್ಯ IP ಪ್ಯಾಕೆಟ್ ಆಗುತ್ತದೆ. ನಂತರ ASA ಅದನ್ನು ರೂಟ್ ಮಾಡುತ್ತದೆ, ಸೈಟ್-ಟು-ಸೈಟ್ crypto ACL ಜೊತೆ ಹೊಂದಿಸುತ್ತದೆ, ಮತ್ತೆ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡುತ್ತದೆ ಮತ್ತು ಹೊರಗಿನ ಇಂಟರ್ಫೇಸ್‌ನಿಂದ ಶಾಖೆಯ ಕಡೆಗೆ ಕಳುಹಿಸುತ್ತದೆ.

ಕೆಳಗಿನ ವಿಳಾಸಗಳು ಉದಾಹರಣೆಗಳು, ಆದರೆ ಆಕಾರ ಮುಖ್ಯ: ಮೂಲ ಪೂಲ್, ASA ಯ ಒಳಗಿನ LAN ಅಲ್ಲ.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

ಇದರಿಂದ ಎರಡು ವಿಷಯಗಳು ಬರುತ್ತವೆ. ಕ್ಲೈಂಟ್‌ಗೆ ತನ್ನ ರಿಮೋಟ್-ಆಕ್ಸೆಸ್ ಸಂಪರ್ಕದ ಮೂಲಕ ಶಾಖೆಯ ಪ್ರಿಫಿಕ್ಸ್‌ಗೆ ರೂಟ್ ಬೇಕು, ಅಂದರೆ split-tunnel ಅಥವಾ ತಳ್ಳಲಾದ ರೂಟ್ ಪಟ್ಟಿಯಲ್ಲಿ ಅದನ್ನು ಸೇರಿಸಬೇಕು. ಮತ್ತು ಶಾಖೆಗೆ ಟ್ರಾಫಿಕ್ ಅನ್ನು 10.77.0.20 ಗೆ ಅಥವಾ ನಿಮ್ಮ NAT ವಿನ್ಯಾಸವು ಬದಲಿಸಿದ ವಿಳಾಸಕ್ಕೆ ಹೇಗೆ ಹಿಂತಿರುಗಿಸಬೇಕೆಂದು ತಿಳಿದಿರಬೇಕು.

hairpin ಅನುಮತಿ ಜಾಗತಿಕವಾಗಿದೆ

ಜನರು ಆಶ್ರಯಿಸುವ ಆದೇಶ same-security-traffic permit intra-interface. ಇದು ಟ್ರಾಫಿಕ್ ಒಂದೇ ಇಂಟರ್ಫೇಸ್‌ಗೆ ಪ್ರವೇಶಿಸಿ ಅದೇ ಇಂಟರ್ಫೇಸ್‌ನಿಂದ ಹೊರಹೋಗಲು ಅನುಮತಿಸುತ್ತದೆ, ಇದು ಈ ಮಾರ್ಗಕ್ಕೆ ನಿಖರವಾಗಿ ಬೇಕಾದದ್ದು. ಇದು ಜಾಗತಿಕ ಸೆಟ್ಟಿಂಗ್ ಕೂಡ: ಅದನ್ನು ಸಕ್ರಿಯಗೊಳಿಸುವುದು ಅದೇ ಇಂಟರ್ಫೇಸ್ ಅನ್ನು ಎರಡು ಬಾರಿ ದಾಟುವ ಇತರ ಹರಿವುಗಳ ನಡವಳಿಕೆಯನ್ನು ಬದಲಿಸುತ್ತದೆ.

ಆದ್ದರಿಂದ ಇದು ಡೀಬಗ್ ಅವಧಿಗಿಂತ ಬದಲಾವಣೆ ದಾಖಲೆಗೆ ಸೇರುತ್ತದೆ. ಸಾಧನದಲ್ಲಿ ಇನ್ನೇನು ಈಗ ಅದೇ ಇಂಟರ್ಫೇಸ್‌ನ ಮಾರ್ಗವನ್ನು ತೆಗೆದುಕೊಳ್ಳಬಹುದು ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಯಾವುದಾದರೂ ತೆಗೆದುಕೊಳ್ಳಬೇಕೇ ಎಂದು ಕೇಳಿ. ಅತಿಥಿ ನೆಟ್‌ವರ್ಕ್‌ಗಳು ಅಥವಾ ಒಂದರ ಮೇಲೊಂದು ಬರುವ ಪಾಲುದಾರ ಟನೆಲ್‌ಗಳಿರುವ ಜನನಿಬಿಡ ಅಂಚಿನಲ್ಲಿ ಉತ್ತರ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಇಲ್ಲ ಅಲ್ಲ. ಸೆಟ್ಟಿಂಗ್ ಪಕ್ಕದಲ್ಲಿ ಕಾರಣ ಬರೆಯಿರಿ, ಏಕೆಂದರೆ ಮುಂದಿನ ಇಂಜಿನಿಯರ್ ಆದೇಶವನ್ನು ಕಂಡುಕೊಳ್ಳುತ್ತಾರೆ, ಸಂಭಾಷಣೆಯನ್ನಲ್ಲ.

ರಕ್ಷಣೆಯ ವ್ಯಾಪ್ತಿ ಮತ್ತು NAT ಪ್ರತ್ಯೇಕ

ಸೈಟ್-ಟು-ಸೈಟ್ ಟನೆಲ್ ತನ್ನ crypto ACL ಆಯ್ಕೆ ಮಾಡುವುದನ್ನು ರಕ್ಷಿಸುತ್ತದೆ. ಆ ACL ಮೂಲವಾಗಿ ASA ಯ ಒಳಗಿನ ಸಬ್‌ನೆಟ್ ಅನ್ನು ಹೆಸರಿಸಿದರೆ, ರಿಮೋಟ್-ಆಕ್ಸೆಸ್ ಪೂಲ್ ರಕ್ಷಿಸಲ್ಪಡುವುದಿಲ್ಲ ಮತ್ತು ಪ್ಯಾಕೆಟ್ ಒಂದೋ ಬಿಟ್ಟುಬಿಡಲ್ಪಡುತ್ತದೆ ಅಥವಾ ಹೊಂದಿಕೆಯಾಗದ ಟ್ರಾಫಿಕ್‌ಗೆ ವೇದಿಕೆಯ ನಡವಳಿಕೆಯನ್ನು ಅವಲಂಬಿಸಿ ಬಯಲಾಗಿ ಕಳುಹಿಸಲ್ಪಡುತ್ತದೆ. ವಿನ್ಯಾಸವು ಪೂಲ್ ವಿಳಾಸಗಳನ್ನು ಉಳಿಸಿಕೊಂಡಾಗ ಪೂಲ್ ಅನ್ನು ರಕ್ಷಿತ ಹರಿವಿಗೆ ಸೇರಿಸಿ.

ನಂತರ NAT ಪೂಲ್ ವಿಳಾಸ ಉಳಿಯುತ್ತದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. Identity NAT ಅದನ್ನು ಉಳಿಸುತ್ತದೆ, ಮತ್ತು ಶಾಖೆ 10.77.0.20 ಅನ್ನು ಮೂಲವಾಗಿ ನೋಡುತ್ತದೆ. ಅನುವಾದ ಒಪ್ಪಂದವನ್ನು ಬದಲಿಸುತ್ತದೆ: ಶಾಖೆ ಈಗ ಅನುವಾದಿತ ವಿಳಾಸಕ್ಕೆ ಟ್ರಾಫಿಕ್ ಹಿಂತಿರುಗಿಸುತ್ತದೆ, ಮತ್ತು ಅದರ ಸ್ವಂತ ನೀತಿ ಅದನ್ನು ಸ್ವೀಕರಿಸಬೇಕು. ನಿಯಮಗಳ ಕ್ರಮವು crypto ACL ಅನುವಾದದ ಮೊದಲು ಅಥವಾ ನಂತರ ಹೊಂದುತ್ತದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಯಾವುದು ಗೆಲ್ಲುತ್ತದೆ ಎಂದು ಊಹಿಸುವ ಬದಲು ಪರಿಣಾಮಕಾರಿ ಹರಿವನ್ನು ಓದಿ.

ಒಂದು ಟ್ರಾನ್ಸಿಟ್ ಪ್ರಕರಣ ಕೆಲಸ ಮಾಡಲು ಸಾಮಾನ್ಯ ಇಂಟರ್ನೆಟ್ PAT ನಿಯಮಗಳನ್ನು ಅಳಿಸಬೇಡಿ. ಗುರಿಪರಿಮಿತ ವಿನಾಯಿತಿ ಅಥವಾ ಉದ್ದೇಶಪೂರ್ವಕ identity ನಿಯಮವು ಹೊರಹೋಗುವ ನೀತಿಯಲ್ಲಿ ರಂಧ್ರ ಮಾಡುವುದಕ್ಕಿಂತ ವಿವರಿಸಲು ಮತ್ತು ಹಿಂತೆಗೆದುಕೊಳ್ಳಲು ಸುಲಭ.

ಎನ್‌ಕ್ರಿಪ್ಷನ್ ಅಧಿಕಾರವಲ್ಲ

ಕೆಲಸ ಮಾಡುವ ಟನೆಲ್ ಕೇವಲ ಎರಡು ಕಡೆಗಳು ಕೀಗಳು ಮತ್ತು ಆಯ್ಕೆದಾರರ ಬಗ್ಗೆ ಒಪ್ಪುತ್ತವೆ ಎಂದು ಸಾಬೀತು ಮಾಡುತ್ತದೆ. ಈ ಬಳಕೆದಾರರು ಆ ಸೇವೆಯನ್ನು ತಲುಪಬಹುದೇ ಎಂದು ಅದು ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ. ರಿಮೋಟ್-ಆಕ್ಸೆಸ್ ಸಂಪರ್ಕಕ್ಕೆ ಜೋಡಿಸಲಾದ VPN ಫಿಲ್ಟರ್ ಅಥವಾ ಗುಂಪು ನೀತಿಯು ಇನ್ನೂ ಶಾಖೆಯ ಗಮ್ಯಸ್ಥಾನ ಮತ್ತು ಪೋರ್ಟ್ ಅನ್ನು ಅನುಮತಿಸಬೇಕು, ಮತ್ತು ಹೊರಗಿನ ಮಾರ್ಗದ ಇಂಟರ್ಫೇಸ್ ACL ಇನ್ನೂ ಅನ್ವಯಿಸುತ್ತದೆ.

ಉತ್ತರವನ್ನು ಎರಡೂ ದಿಕ್ಕುಗಳಲ್ಲಿ ಪರೀಕ್ಷಿಸಿ. ನೆರೆಯ ಸೇವೆ ವಿಫಲವಾಗಬೇಕಿದ್ದಾಗ ಯಶಸ್ವಿಯಾಗುವ ಸಂಪರ್ಕವು ಒಂದು ಯಶಸ್ವಿ ping ಗಿಂತ ಹೆಚ್ಚು ಮಾಹಿತಿಪೂರ್ಣವಾಗಿದೆ, ಏಕೆಂದರೆ ನೀತಿ ಸಂಪೂರ್ಣ ತೆರೆದದ್ದಲ್ಲ, ಆಯ್ದದ್ದು ಎಂದು ತೋರಿಸುತ್ತದೆ. ನಿರಾಕರಿಸಬೇಕಾದ ಪರೀಕ್ಷೆ ಯಶಸ್ವಿಯಾದರೆ, ದೋಷ ಟನೆಲ್‌ನದ್ದಲ್ಲ; ನೀತಿಯದ್ದು. ಎರಡೂ ಫಲಿತಾಂಶಗಳನ್ನು ಬದಲಾವಣೆ ದಾಖಲೆಯಲ್ಲಿ ಇರಿಸಿ, ಮುಂದಿನ ವ್ಯಕ್ತಿಗೆ ಯಾವ ನಡವಳಿಕೆ ಉದ್ದೇಶಿತವಾಗಿತ್ತು ಎಂದು ತಿಳಿಯಲಿ.

hairpin ಅಥವಾ ಎರಡನೇ ಇಂಟರ್ಫೇಸ್

hairpin ಟ್ರಾನ್ಸಿಟ್ ವಿನ್ಯಾಸವನ್ನು ಚಿಕ್ಕದಾಗಿ ಇರಿಸುತ್ತದೆ ಮತ್ತು ಒಂದು ಜಾಗತಿಕ ಸೆಟ್ಟಿಂಗ್ ವೆಚ್ಚ ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ. ಪ್ರತ್ಯೇಕ ಇಂಟರ್ಫೇಸ್, ಅಥವಾ ತನ್ನದೇ ವರ್ಚುವಲ್ ಇಂಟರ್ಫೇಸ್ ಹೊಂದಿರುವ ರೂಟ್-ಆಧಾರಿತ ಟನೆಲ್, ಟ್ರಾನ್ಸಿಟ್ ಮಾರ್ಗವನ್ನು ಪ್ರತ್ಯೇಕಿಸುತ್ತದೆ ಮತ್ತು ನಿಮಗೆ ಪ್ರತಿ-ಇಂಟರ್ಫೇಸ್ ನೀತಿ ನೀಡುತ್ತದೆ, ಬದಲಿಗೆ ವಿಳಾಸೀಕರಣ ಮತ್ತು ಇನ್ನೊಂದು crypto map ಅಥವಾ ಪ್ರೊಫೈಲ್ ವೆಚ್ಚದಲ್ಲಿ. ಯಾವುದೂ ಹೆಚ್ಚು ಸರಿಯಲ್ಲ; ಅವು ವಿಭಿನ್ನವಾಗಿ ವಿಫಲವಾಗುತ್ತವೆ.

ರೂಟ್-ಆಧಾರಿತ ವಿನ್ಯಾಸಗಳು ಬೇರೆ ಜೋಡಣೆ, ಅದೇ ಸಂರಚನೆಯಲ್ಲಿ ಒಂದು ಚೆಕ್‌ಬಾಕ್ಸ್ ಅಲ್ಲ. ನೀವು ಅದಕ್ಕೆ ಹೋದರೆ, ಮೇಲಿನ ನೀತಿ-ಆಧಾರಿತ crypto ACL ಚರ್ಚೆ ಅನ್ವಯವಾಗುವುದನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ ಮತ್ತು ರೂಟಿಂಗ್ ಕೋಷ್ಟಕ ಆಯ್ಕೆಯ ಕೆಲಸವನ್ನು ಪ್ರಾರಂಭಿಸುತ್ತದೆ.

ನಿಜವಾದ ಕ್ಲೈಂಟ್‌ನಿಂದ ಪರಿಶೀಲಿಸಿ

ASA ಯಿಂದ ಪ್ರಾರಂಭವಾದ ಪ್ರೋಬ್‌ಗೆ ಬೇರೆ ಮೂಲ ವಿಳಾಸ ಇರುತ್ತದೆ ಮತ್ತು ಪೂಲ್‌ನಿಂದ ಶಾಖೆಗಿನ ಮಾರ್ಗವನ್ನು ಅದು ಅಭ್ಯಾಸ ಮಾಡುವುದಿಲ್ಲ. ಐದು-ಅಂಶವನ್ನು ಪರಿಶೀಲಿಸಲು packet-tracer ಬಳಸಿ, ನಂತರ ನಿಜವಾದ ರಿಮೋಟ್ ಕ್ಲೈಂಟ್‌ನಿಂದ ನಿಜವಾದ ಸಂಪರ್ಕ ತೆರೆಯಿರಿ, ಏಕೆಂದರೆ ಟ್ರೇಸರ್ ಅನುಕರಿಸುತ್ತದೆ ಮತ್ತು ಕ್ಲೈಂಟ್‌ನ ಸ್ವಂತ ರೂಟಿಂಗ್ ಮತ್ತು ನೀತಿಯನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ.

ಯೋಜಿತ ಬದಲಾವಣೆಯ ನಂತರ, ಕೆಲಸ ಮಾಡಬೇಕಾದ ಸೇವೆಗೆ ಸಂಪರ್ಕಿಸಿ, ನಂತರ ನಿರಾಕರಿಸಬೇಕಾದ ಸೇವೆಗೆ, ನಂತರ ಶಾಖೆಯ ಹಿಂತಿರುಗು ಮಾರ್ಗವನ್ನು ದೃಢೀಕರಿಸಿ. Cisco ನ VPN hairpin NAT ಉದಾಹರಣೆಗಳು intra-interface ಅನುಮತಿ, NAT ಮತ್ತು ACL ಗಳನ್ನು ಗೋಚರವಾಗಿ ಪ್ರತ್ಯೇಕವಾಗಿ ಇಡುತ್ತವೆ, ಮತ್ತು ಅದೇ ನಕಲಿಸಲು ಯೋಗ್ಯವಾದ ಮಾನಸಿಕ ಮಾದರಿ.