ASA VPN hairpin: эки туннелди бир интерфейс аркылуу маршруттоо

Алыскы колдонуучунун трафиги кирген ASA интерфейсинен чыга алат, бирок hairpin уруксаты, туннелдин көлөмү, NAT жана ACL төрт өзүнчө чечим.

Алыскы колдонуучу ASAга туташат, филиалдын артындагы хостту сурайт, жана ASA бул суроону колдонуучу кирген интерфейстин дал өзүнөн чыгарат. Мунун эч бир бөлүгү экинчи физикалык портту талап кылбайт. Талап кылганы — адамдар бир чечимге бириктирүүчү төрт көз карандысыз чечим: hairpin жасоого уруксат, туура даректерди коргоочу туннель, убада кылган булакты сактаган NAT саясаты жана кызматты уруксаттаган кирүү саясаты.

Бир пакет, эки туннель

Агымды ээрчиңиз, ошондо операциялардын тартиби сырдуу болуудан калат. Пакет алыскы кирүү туннелинин ичине келет, шифри ачылат жана кардар пулунан булак алган кадимки IP пакетке айланат. Андан кийин ASA аны маршруттайт, сайттан сайтка crypto ACL менен салыштырат, кайра шифрлейт жана сырткы интерфейстен филиалга карай жөнөтөт.

Төмөнкү даректер иллюстративдик, бирок форма маанилүү: булак — пул, ASAнын ички LAN эмес.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Бул жерден эки нерсе келип чыгат. Кардарга филиал префиксине маршрут өзүнүн алыскы кирүү байланышы аркылуу керек, башкача айтканда split-tunnel же жөнөтүлүүчү маршруттар тизмеси аны камтышы керек. Ал эми филиал трафикти 10.77.0.20 дарегине же сиздин NAT долбоору алмаштырган дарекке кантип кайтарарын билиши керек.

Hairpin уруксаты глобалдуу

Адамдар кайрылган буйрук — same-security-traffic permit intra-interface. Ал трафикке бир интерфейстен кирип, ошол эле интерфейстен чыгууга мүмкүндүк берет, бул дал ушул жолго керек. Ал ошондой эле глобалдык жөндөө: аны күйгүзүү ошол эле интерфейстен эки жолу өткөн башка агымдардын жүрүм-турумун өзгөртөт.

Ошондуктан ал жөндөө сессиясына эмес, өзгөртүү жазуусуна таандык. Түзмөктө дагы эмне ушул интерфейстин жолун ала аларын жана алардын бири алышы керекпи экенин сураңыз. Конок тармактары же катмарланган өнөктөш туннелдери бар тыгындуу четте жооп автоматтык түрдө жок эмес. Себебин жөндөөнүн жанына жазыңыз, анткени кийинки инженер буйрукту табат, сүйлөшүүнү эмес.

Коргоо көлөмү жана NAT өзүнчө

Сайттан сайтка туннель өзүнүн crypto ACL тандаганын коргойт. Эгер ошол ACL булак катары ASAнын ички ички тармагын атаса, алыскы кирүү пулу корголбойт жана пакет же ыргытылат, же платформанын дал келбеген трафикке жүрүм-турумуна жараша ачык жөнөтүлөт. Долбоор пул даректерин сактаган учурда пулду корголгон агымга кошуңуз.

Андан кийин NAT пул дареги сакталабы же жокпу чечет. Identity NAT аны сактайт, жана филиал 10.77.0.20ни булак катары көрөт. Котормо келишимди өзгөртөт: филиал эми трафикти которулган дарекке кайтарат, жана анын өз саясаты муну кабыл алышы керек. Эрежелердин тартиби crypto ACL котормого чейин же андан кийин дал келерин чечет, ошондуктан кайсы жеңет деп божомолдобой, иш жүзүндөгү агымды окуңуз.

Бир транзит учуру иштеши үчүн интернеттин жалпы PAT эрежелерин жок кылбаңыз. Максаттуу өзгөчөлүк же атайын identity эрежеси түшүндүрүүгө жана кайтарууга чыгуучу саясаттагы тешиктен жеңил.

Шифрлөө — авторизация эмес

Иштеп жаткан туннель эки тараптын ачкычтар жана селекторлор боюнча макулдашканын гана далилдейт. Ал бул колдонуучу ошол кызматка жете алабы же жокпу тууралуу эч нерсе айтпайт. Алыскы кирүү байланышына байланган VPN фильтри же топтук саясат дагы эле филиалдын дареги менен портуна уруксат бериши керек, жана сырткы жолдогу интерфейстик ACL дагы эле колдонулат.

Жоопту эки багытта тең текшериңиз. Коңшу кызмат ийгиликсиз болушу керек болгондо ийгиликтүү болгон байланыш бир ийгиликтүү pingден көбүрөөк маалымат берет, анткени саясаттын толук ачык эмес, тандамал экенин көрсөтөт. Эгер тыюу салынышы керек тест ийгиликтүү болсо, күнөөлүү туннель эмес, саясат. Эки жыйынтыкты тең өзгөртүү жазуусунда сактаңыз, кийинки адам кайсы жүрүм-турум көздөлгөнүн билсин.

Hairpin же экинчи интерфейс

Hairpin транзити долбоорду кичине кармайт жана бир глобалдык жөндөөгө турат. Өзүнчө интерфейс же өзүнүн виртуалдык интерфейси бар маршруттук туннель транзит жолун бөлүп, интерфейс боюнча саясат берет, бирок даректөө жана дагы бир crypto map же профиль талап кылат. Экөө тең туурараак эмес; алар ар башкача ийгиликсиз болушат.

Маршруттук долбоорлор — башка жайгашуу, ошол эле конфигурациядагы белги кутучасы эмес. Эгер ошого өтсөңүз, жогорудагы саясатка негизделген crypto ACL талкуусу колдонулууну токтотот жана маршруттоо таблицасы тандоо ишин баштайт.

Чыныгы кардардан текшериңиз

ASAдан иштетилген зонддун булак дареги башка жана пулдан филиалга чейинки жолду басып өтпөйт. Беш элементти текшерүү үчүн packet-tracer колдонуңуз, андан кийин чыныгы алыскы кардардан реалдуу байланыш ачыңыз, анткени издегич эле имитациялайт жана кардардын өз маршруттоосун жана саясатын алмаштырбайт.

Пландалган өзгөртүүдөн кийин иштеши керек кызматка туташыңыз, андан кийин четке кагылышы керек кызматка, анан филиалдын кайтуу маршрутун ырастаңыз. Ciscoнун VPN hairpin NAT мисалдары intra-interface уруксатын, NAT жана ACLди көрүнүктүү түрдө өзүнчө кармайт жана бул көчүрүүгө татыктуу ой моделинен.

Тектеш макалалар