ASA hairpin: Internetausgang oder Site-zu-Site-VPN-Been?

De Client-Pool kann an den Internet oder an en Site-VPN erausgoen. Entscheet, wéi ee Been dir braucht, ier dir NAT schreift, a kontrolléiert duerno Route, Selekter an Äntwertpad.

Zwee Remote-Access-Benutzer hannert demselwechten ASA kënnen Traffic aus demselwechten baussenzege Interface schécken an ganz ënnerschiddlech behandelt ginn. Den ee geet op eng ëffentlech Websäit, also brauch de Paket Quelltranslat an eng Internetroute. Den aneren geet op e Server hannert engem Site-zu-Site-Tunnel, deen och op deem Interface endet, also brauch de Paket Identitéit, en passende Tunnelselekter an en Zeréckpad zum Client-Pool. D’Erlaabnes fir dee selwechten Interface ass eng Viraussetzung fir béid an eng Léisung fir keen.

Zwee Been, een Interface

Entscheet, wéi ee Been dir baut, ier dir eng NAT-Reeg tippt, well d’Reegele sinn net austauschbar. Been A ass Client zu Internet: Pooladress eran, iwwersat ëffentlech Adress eraus, zeréck duerch dee selwechten Interface. Been B ass Client zu engem private Prefix op der anerer Säit vun engem aneren IPsec-Peer: d’Pooladress bleift erhalen, gëtt nei verschlësselt an un e Peer geliwwert, dee muss wëssen, wéi hien dem Pool äntwert.

Wat béid als éischt brauchen, ass d’Erlaabnes fir dee selwechten Interface. Ouni déi refuséiert den ASA, e Paket aus dem Interface erauszeschécken, op deem et ukomm ass, an de Feeler gesäit aus wéi e Routingproblem an net wéi e Politikproblem:

same-security-traffic permit intra-interface

Déi eng Linn autoriséiert eng Weiderleeungsanordnung, wéi d’ ASA-NAT-Referenz si fir Weeër duerch dee selwechten Interface beschreift. Si setzt keng Clientroute derbäi, autoriséiert keng Ressource, iwwersetzt keng Adress an negotiéiert kee Selekter vum IPsec, also erwaart duerno nach dräi oder véier Saachen derbäizesetzen an liest seng Akzeptanz net als Fortschrëtt.

Been A: de Client wëllt den Internet

Fir en Internetausgang muss d’Pooladress ophalen privat ze sinn, ier de Paket d’Apparat verléisst. An engem gewéinlechen PAT-Design iwwersetzt d’Reegel de Pool op d’Adress vum baussenzege Interface, an den Zeréckzoustan stellt de Floss zum Client erëm hier:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Bestätegt duerno, datt de Client den ASA wierklech gefrot huet, deen Traffic ze droen. En Ausschloss aus dem Split-Tunnel schéckt d’ëffentlech Destinatioun iwwer dem Telefon seng eegen Verbindung, déi den ASA ni erreecht, an keng NAT-Reegel reparéiert e Paket, dat ni geschéckt gouf. Vergläicht d’Split-Tunnel-Lëscht vun der Gruppenpolitik mat der Destinatioun, déi dir testt.

De Rescht vum Been ass gewéinlech: eng brauchbar Standard- oder spezifesch Route aus dem baussenzege Interface, eng Zougangspolitik, déi de Floss erlaabt, an DNS, deen no der Resolverpolitik behandelt gëtt, déi dir gewielt hutt. Setzt route-lookup hei aus demselwechte Grond wéi ënnen derbäi, well den Agangs- an den Ausgangsinterface identesch sinn.

Been B: de Client wëllt eng privat Site

Dëst Been schléit op méi Plazen feel, also schreift et an der Rei. Als éischt d’Clientroute: de Destinatiounspräfix muss op der Split-Tunnel-Lëscht stoen, soss setzt de Client en net an den Tunnel. Zweetens de Tunnelselekter: de Site-zu-Site-Krypto-ACL muss d’Pooladress bis zum Remote-Präfix decken, net just de lokalen LAN bis zum Remote-Präfix. Drëttens d’Identitéit, sou datt d’Pooladress ënnerwee net an den Internet-PAT iwwersat gëtt.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Déi wäit Säit ass den Deel, deen d’Leit vergiessen ze testen. De Peer brauch eng Route zeréck zum Pool an e Selekter, deen en abegräift, an seng eege Politik muss d’Quelladressen erlaben, déi hie gesäit. Wann d’Site amplaz iwwer eng iwwersat Vue benotzt gëtt, ass dat en valabelt Design, awer dann mussen déi zwee Peeren, déi zwee Selekteren an déi zwou Routingtabellen iwwer déi iwwersat Adressen eens ginn.

Kuckt och d’Reegelefolleg. Eng breed PAT-Reegel iwwer der Identitéitsreegel iwwersetzt den private Austausch, éier d’Identitéitsreegel iwwerhaapt evaluéiert gëtt, an de Symptom ass en Site-Tunnel ouni passenden SA an net e NAT-Feeler.

Den Test, deen dir seet, wéi ee Been dir gebaut hutt

Benotzt dem ASA seng eege Padbewäertung, amplaz d’Konfiguratioun ze liesen an ze hoffen. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed weist d’NAT-Entscheedung, d’Route an d’ACL-Resultat fir ee Floss; widderhëlt et mat enger privater Destinatioun. Wann d’NAT-Phase e Privat-zu-Privat-Floss ëmschreift, hutt dir Been A fir e Paket gebaut, deen Been B gebraucht huet.

Zwee weider Kommandoen schléissen d’Lück. show nat detail dréckt d’Reegelefolleg, déi de packet-tracer gefollegt huet, an show crypto ipsec sa weist, ob et e Selekter fir d’Paar gëtt, dat dir erwaart. En SA, deen feelt, ass eng Fro vun der Selekter- oder Peer-Konfiguratioun, net eppes, wat d’NAT-Reegel reparéiere kann.

Verifizéiert all Been mat dem Traffic, deem et déngt

Akzeptéiert Been A mat enger gewéinlecher ëffentlecher Ufro vum Client, a Been B mat enger Ufro un eng privat Ressource, déi wierklech existéiert. Widderhëlt duerno all eenzel mat enger refuséierter Ressource, well „erlaabt“ an „vun der Zougangspolitik guttgeheescht“ net déiselwecht Bewäis sinn, an e Ping, deen aus dem Hub entsteet, üübt keen vun de Clientweeër aus.

Halt déi zwee Testopzeechnungen am Ticket getrennt: Quelladress, Destinatioun, déi passend NAT-Reegel an d’Resultat. Wann den nächsten Rapport seet „de VPN ass futti“, seet deen Paar dir bannent enger Minutt, wéi ee Been zréckgefall ass, an d’Äntwert ass meeschtens eng Route oder e Selekter an net d’Linn vum selwechten Interface, déi jiddwereen als éischten verdächtegt.

Ähnlech Artikelen