VPN трафиги үчүн ASA identity NAT жана IOS NAT өзгөчөлүгү

Cisco шлюздеринде ASA identity NAT да, IOS NAT классификаторунун өзгөчөлүгү да VPN дарегин сактайт. Эрежелер котормонун кайсы жерде өткөрүлүп кетишинен айырмаланат.

Филиал интернет PAT жана сайттар аралык VPNды бир Cisco шлюзинде кармайт жана NAT кошулган учурда VPN иштебей калат. Туннелдин ичиндеги даректер crypto ACL коргогон даректерге дал келбей калат, же каршы тарап маршруту жок которулган даректерди көрөт. Cisco муну эки жерде чечет: ASA даректи өзүнө багыттоочу NAT эрежесин тандайт, ал эми IOS ACL ичиндеги deny аркылуу агымды которуу эрежесинен тышкары кармайт. Экөө тең баштапкы даректерди сактайт жана экөө тең NAT иштетүүнү айланып өтпөйт.

Эрежени тандоодон мурун агымды жазып алыңыз

Коргогуңуз келген агымды жазуудан баштаңыз: жергиликтүү LAN булагы, алыскы багыты жана IPsec саясаты коргогон так даректер жупү. Муну эрежени оңдоодон мурун жасаңыз, анткени бул топтом кайсы классификатор же NAT эрежеси дал келиши керек экенин көрсөтөт.

Андан кийин көздөгөн эрежени эмес, чындыгында дал келген эрежени табыңыз. Эки платформада тең NAT белгилүү тартипте бааланат жана сиздин өзгөчөлүк каралганга чейин мурунку эреже жеңиши мүмкүн. Туура көрүнгөн, бирок башка эрежеге утулуп калган өзгөчөлүк күтүлгөн пакетти коргоо саясатына эч качан бербейт. Белгиси жок өзгөчөлүктүн белгиси менен бирдей, ошондуктан конфигурацияны өзгөртүүдөн мурун эрежелердин тартибин окуу керек.

ASA identity NAT — эреже, айланып өтүү эмес

ASAда identity NAT — которулган дареги баштапкыга барабар болгон NAT эрежеси. Ал башка эрежелер сыяктуу эле тандалат жана которуу жазуусун орнотот, ошондуктан пакет NAT иштетүүнү өткөрүп жибербейт. Өзгөргөн нерсе — тармактагы даректер ошол бойдон калат, ал эми IPsec саясатына дал ушул керек.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Эреженин интерфейстери жана анын route-lookup параметри жиберүү долбооруна туура келиши керек. Даректи туура багыттаган, бирок туура эмес интерфейс жупүнө колдонулган эреже сиздин агымыңыз үчүн тандалбайт. Route-lookup которулган пакет маршрутталабы же баштапкы багыт колдонобу дегенди чечет, ал эми бул кайтарым трафиктин туннел аркылуу кайтышын аныктайт.

ASAнын өзүнө башкаруу кирүүсү өзүнчө учур. Башкаруу трафиги үчүн identity NAT колдонсоңуз, чыгарылышка көз каранды route-lookup талабы колдонулат, ал эми VPN мисалынан көчүрүлгөн кең өзгөчөлүк SSHды оңдобойт.

IOS NAT ACL ичиндеги deny бул жерде тандалган жок дегенди билдирет

IOSта интернет NAT булактар тизмеси менен башкарылат жана бул ACL чыпка эмес, классификатор. Permit сабы трафикти которууга тандайт; deny сабы пакет бул жерде тандалган эмес дегенди билдирет. Бул deny интерфейс ACLиндеги deny сыяктуу пакетти таштоо буйругу эмес.

Бул жерде тандалган жок эч жерде которулбайт дегенден да тар. Башка NAT эрежеси, башка интерфейс же route-map агымды дагы эле которушу мүмкүн, ошондуктан бүт NAT таблицасын окуу керек. Пакетке дагы эле маршрут, дал келген crypto ACL жана чыныгы кирүүнү көзөмөлдөө чектеринде уруксат керек.

Минималдуу IOS жайгашуусу denyды ошол тизмедеги permitтен жогору коет жана overload эрежесин ошол тизмеге багыттайт. Ошондо crypto ACL deny которуудан чыгарган жуптун өзүн коргойт.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Эки модель үчүн бир текшериле турган суроо

Эки модель тең бир суроого жооп берет: бул агымга кайсы эреже дал келди жана кайсы даректер интерфейстен чыкты? Сырткы интерфейсте кармап, булак дарегин шлюзге чейин жана кийин салыштырыңыз. Андан кийин каршы тараптын туннелге көз карашын текшериңиз, анткени SA көтөрүлгөн болушу мүмкүн, ал эми корголгон агым башка жерде которулуп жатат.

ASAда nat detail жана которуулар таблицасын көрсөтүңүз; IOSта ip nat translations жана тиешелүү ACL эсептегичтерин көрсөтүңүз. Эч качан өспөгөн эреже эч качан тандалган эмес, ал эми бул crypto конфигурациясына эмес, тартипке, интерфейске же багытка көрсөтөт.

Конфигурация адатта кайсы жерде жаңылат

Көп кездешүүчү бузулуулар механикалык. Deny permitтен төмөн турат жана эч качан дал келбейт. Классификатор туура эмес багытта колдонулат, ошондуктан кайтарым агым которулат. Identity эрежеси туура даректерди, бирок туура эмес интерфейс жупүн камтыйт. Crypto ACL NAT эрежеси сунуш кылганга дал келбей калган субтармакты коргойт.

Баштапкы жана сунушталып жаткан дарек жупүн эреженин ээсинин жанына жазыңыз, ошондо кийинки инженер классификатор эмне үчүн которуудан баш тартаарын, ал эми firewall тиркемеге уруксат берерин көрөт. Муну жеке жазууда эмес, өзгөртүү билетинде сактаңыз. Андан кийин ар бир NAT өзгөртүүсүнөн кийин агымды кайра иштетиңиз, анткени эреженин тексти өзгөрбөсө да эрежелердин тартиби конфигурациянын бөлүгү. Көтөрүлгөн туннел даректердин сакталганын далилдебейт; тек кармалган пакет жана каршы тараптын декапсуляциядан кийинки көрүнүшү далил.

Тектеш макалалар