ASA hairpin: интернетке чыгуубу же сайт-сайт VPN бутубу?

Кардарлар пулу интернетке же сайт VPNге чыга алат. NAT жазуудан мурун кайсы бут керек экенин чечип, анан маршрутту, селекторду жана жооп жолун текшериңиз.

Бир эле ASAнын артындагы эки алыскы кирүү колдонуучусу бирдей тышкы интерфейстен трафик жөнөтүп, таптакыр башка мамиле алышы мүмкүн. Бирөө коомдук веб-сайтка баратат, ошондуктан пакетке булактык трансляция жана интернет маршруту керек. Экинчиси ошол интерфейсте аяктаган сайт-сайт туннелинин артындагы серверге баратат, ошондуктан пакетке инсандык, дал келген туннель селектору жана кардарлар пулуна кайтуу жолу керек. Бирдей интерфейске уруксат эки тарап үчүн тең шарт жана эч бири үчүн чечим эмес.

Эки бут, бир интерфейс

NAT эрежесин жазганга чейин кайсы бутту куруп жатканыңызды чечиңиз, анткени эрежелер бири-бирин алмаштырбайт. A буту — кардардан интернетке: пул дареги ичкери, которулган коомдук дарек сыртка, ошол эле интерфейс аркылуу кайра. B буту — кардардан башка IPsec өнөктөштүн каршы тарабындагы жеке префикске: пул дареги сакталат, кайра шифрленет жана пулга кантип жооп берүүнү билүүгө тийиш өнөктөшкө жеткирилет.

Экөөнө тең эң оболу бирдей интерфейске уруксат керек. Ансыз ASA пакетти келген интерфейстен ары жөнөтүүдөн баш тартат, жана бузулуу саясат эмес, маршруттоо маселесиндей көрүнөт:

same-security-traffic permit intra-interface

Ошол бир сап жөнөтүү тартибине уруксат берет, аны ASA NAT маалымдамасы бирдей интерфейс жолдору үчүн сүрөттөйт. Ал кардар маршрутун кошпойт, ресурска уруксат бербейт, даректи которбойт жана IPsec селектору боюнча сүйлөшпөйт, ошондуктан андан кийин дагы үч-төрт нерсе кошууну күтүңүз жана анын кабыл алынышын прогресс деп окубаңыз.

A буту: кардар интернетти каалайт

Интернетке чыгуу үчүн пул дареги пакет түзмөктөн чыкканга чейин жеке болууну токтотушу керек. Кадимки PAT долбоорунда эреже пулду тышкы интерфейстин дарегине которот, ал эми кайтуу абалы кардар тарапка агымды калыбына келтирет:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Анан кардар чын эле ASAдан ошол трафикти ташууну сураганын ырастаңыз. Бөлүнгөн туннелден чыгаруу коомдук багытты телефондун өз байланышы аркылуу жөнөтөт, ал ASAга эч качан жетпейт, жана эч качан жөнөтүлбөгөн пакетти бир да NAT эрежеси оңдобойт. Топтук саясаттын бөлүнгөн туннель тизмесин сиз текшерип жаткан багыт менен салыштырыңыз.

Буттун калганы кадимки: тышкы интерфейстен колдонууга боло турган демейки же так маршрут, агымга уруксат берген кирүү саясаты жана сиз тандаган чечүүчү саясатына ылайык иштетилген DNS. Бул жерде route-lookup төмөндөгүдөй эле себеп менен кошуңуз, анткени кирүү жана чыгуу интерфейстери бирдей.

B буту: кардар жеке сайтты каалайт

Бул бут көбүрөөк жерде ийгиликсиз болот, ошондуктан аны тартип менен жазыңыз. Биринчи кардар маршруту: багыт префикси бөлүнгөн туннель тизмесинде болушу керек, болбосо кардар аны туннелге салбайт. Экинчи туннель селектору: сайт-сайт крипто ACL пул дарегинен алыскы префикске чейин камтышы керек, жергиликтүү LANдан алыскы префикске чейин гана эмес. Үчүнчү инсандык, пул дареги жолдо интернет PATка которулбашы үчүн.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Алыскы тарап — адамдар текшерүүнү унутуучу бөлүк. Өнөктөшкө пулга кайтуу маршруту жана аны камтыган селектор керек, жана анын өз саясаты өзү көрө турган булак даректерине уруксат бериши керек. Эгер сайт анын ордуна которулган көрүнүш аркылуу колдонулса, бул жарактуу долбоор, бирок анда эки өнөктөш, эки селектор жана эки маршруттоо таблицасы которулган даректер боюнча макул болушу керек.

Эрежелердин тартибин да текшериңиз. Инсандык эрежесинин үстүндөгү кенен PAT эрежеси жеке алмашууну инсандык эреже бааланганга чейин эле которуп коёт, жана симптом NAT катасы эмес, дал келген SAсы жок сайт туннели болот.

Кайсы бутту курганыңызды айткан тест

Конфигурацияны окуп, үмүт кылуунун ордуна ASAнын өз жолун баалоосун колдонуңуз. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed бир агым үчүн NAT чечимин, маршрутту жана ACL натыйжасын көрсөтөт; жеке багыт менен кайталаңыз. Эгер NAT фазасы жекеден жекеге агымды кайра жазса, B буту керек болгон пакет үчүн A бутун курдуңуз.

Дагы эки буйрук боштукту жабат. show nat detail packet-tracer ээрчиген эрежелер тартибин басып чыгарат, жана show crypto ipsec sa күткөн жуп үчүн селектор бар-жогун көрсөтөт. Жок SA — селектор же өнөктөш конфигурациясынын маселеси, NAT эрежеси оңдой алган нерсе эмес.

Ар бир бутту ал кызмат кылган трафик менен текшериңиз

A бутун кардардын кадимки коомдук суранычы менен, B бутун чын эле бар жеке ресурска сураныч менен кабыл алыңыз. Анан ар бирин четке кагылган ресурс менен кайталаңыз, анткени «уруксат берилди» жана «кирүү саясаты менен бекитилди» бирдей далил эмес, жана хабдан чыккан ping кардар жолдорунун бирин да машыктырбайт.

Тикетте эки сыноо жазуусун өзүнчө кармаңыз: булак дареги, багыт, дал келген NAT эрежеси жана натыйжа. Кийинки отчет «VPN бузулду» дегенде, бул жуп бир мүнөттүн ичинде кайсы бут начарлаганын айтат, жана жооп адатта маршрут же селектор болот, баары биринчи шектенген ошол интерфейс сабы эмес.

Тектеш макалалар