Split-туннель коомдук хостту ASAнын NAT эрежелеринен бошотпойт

split-include маршруту коомдук хостту туннелге тартат, ал жерде ASA hairpin жасап, булакты которушу керек. Эки кадамдын бирин таштасаңыз, агым үзүлөт.

Split-туннелдөө адатта корпоративдик трафикти туннелдин ичинде, ал эми интернеттин калган бөлүгүн firewall сыртында кармоо ыкмасы катары сүрөттөлөт. Бул сүрөттөмөнүн эки жарымы тең бирдей туура эмес. Split-туннелдөө — кардар кабыл алган маршрут чечими, ал эми маршрут чечими пакет headend-ге жеткенден кийин эмне болорун тууралуу эч нерсе айтпайт.

Коомдук даректеги башкы кеңсеңиздин дарегин көрүүнү талап кылган бир гана өнөктөш кызмат бул окуяны бузууга жетиштүү.

Уламыш: split-туннель firewall-ды жолдон чыгарат

Ишеним — жеке диапазондордон тышкары каалаган багыттагы жергиликтүү интернет байланышында калат, ошондуктан firewall аны эч качан көрбөйт жана ага эч качан эреже керек эмес. Бул багыт туннелдин тизмесинде болбогонго чейин гана туура. Оператор коомдук хостту split-include ACL-ге кошкон учурда, кардар бул трафикти туннелге жөнөтөт, ал эми ASA аны башка ар кандай дешифралган агым сыяктуу эле маршруттоо, чыпкалоо жана которуу керек. Кардарда багыттардын тизмесинен башка эч нерсе өзгөргөн жок.

Кардар маршрутизатор болуп калган жок. Ал сиз берген саясатты аткарды.

split-include маршруту чындыгында эмне кылат

Cisco ASA алыстан кирүү конфигурациясында топтук саясат split-tunnel-policy tunnelspecified жана стандарттык ACL атаган split-tunnel-network-list алып жүрөт. Ошол ACLдеги ар бир permit сабы — кардар туннелге жөнөтүшү керек болгон багыт, ал эми калганынын баары жергиликтүү демейки маршрутту колдонууну улантат.

Бир хост кошуу — бир сап, жана бул өзгөртүүнүн кардар көрө алган жалгыз бөлүгү: access-list RA-SPLIT standard permit host 203.0.113.20.

Андан кийин кардарды кайра туташтырыңыз. Саясат туташуу учурунда алмашат, ошондуктан орнотулган сессия эски тизмени сактап, өзгөртүү эч нерсе кылбагандай көрүнөт.

Пакет ошол эле интерфейстен кирип, чыгат

Эми дешифрациядан кийинки агымды көзөмөлдөңүз. Пакет VPN туннели аркылуу сырткы интерфейске кирген, анын багыты коомдук дарек, ал эми маршруттоо таблицасы аны ошол сырткы интерфейстен интернетке карай кайра жөнөтөт. Бир интерфейске кирип, чыккан трафик ASA уруксат бербесе ташталат, жана муну same-security-traffic permit intra-interface аткарат. Ансыз туташуу маршруттоо маселесине окшош, бирок андай эмес түрдө ишке ашпайт.

Бул параметр глобалдык. Ал керектүү ар бир агымга hairpinning уруксат берет, ушул өнөктөш хостко гана эмес, ошондуктан ал тез сыноого эмес, каралган өзгөртүүгө таандык.

Эмне үчүн багыт менен чектелген PAT милдеттүү

Дешифралган пакеттин булак дареги азыр да кардардын VPN дареги, адатта 10.77.0.0/24 сыяктуу пулдан. Бул даректин коомдук интернетте маршруту жок, ошондуктан өнөктөш же эч качан жооп бербейт, же эч жакка жооп берет.

Которуу булакты оңдоп, багытты тийбей калтырат. Объектилер башка жерде аныкталгандыктан, ушул багыт менен чектелген кол менен жасалган эреженин формасы мындай:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

destination static бөлүгү маанилүү. Аны алып салсаңыз, эреже көздөлгөндөн алда канча көп трафикке туура келиши мүмкүн болгон кең котормого айланат, ал эми тартипте эрте турган кең identity эрежеси муну толугу менен жеңиши мүмкүн. Өз эрежеңиз туура келет деп ойлоого чейин show nat detail жана бөлүмдөрдүн тартибин текшериңиз.

Интерфейс PAT ошондой эле өнөктөш ASA интерфейсинин дарегин көрөт дегенди билдирет, ал жогору агымында кайра которулушу мүмкүн. Келишим даректи атаса, аны бир секирүүдө эмес, башынан аягына чейин ырастаңыз.

Туура сыноо багыты менен далилдеңиз

Жалпы what-is-my-ip баракчасын эмес, өнөктөш хосттун өзүн колдонуңуз. Ал баракча split тизмесинен тышта болушу дээрлик анык, ошондуктан ал жергиликтүү интернет дарегиңизди билдирет жана бул жол тууралуу эч нерсе айтпайт. Өнөктөш кызматка жаңы туташуу ачып, алар кандай булакты байкаганын сураңыз, же packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed иштетип, NAT жана маршруттоо этаптарын сап боюнча окуңуз. Кардардан traceroute алсыз текшерүү, анткени ал мурун болгон жолду көрсөтөт, аны тандаган саясатты эмес.

Андан кийин эмне өзгөрбөшү керектигин текшериңиз. Кадимки веб-сайт дагы эле жергиликтүү байланыштан чыгышы керек, ал эми туннел тизмесиндеги жеке ресурс дагы эле жеткиликтүү болушу керек. Өнөктөштү оңдоп, ушул экөөнүн бирин бузган өзгөртүү — башка ката.

Бул дизайндын иштеген версиясы кыска: split ACLде бир хост, hairpin уруксаты, багыт менен чектелген бир PAT эрежеси. Окуядагы калгандын баары — уламыш.

Тектеш макалалар