ASA Identity NAT géint IOS NAT-Ausnam fir VPN-Verkeier

Op Cisco-Gateways behalen souwuel ASA Identity NAT wéi och eng IOS-Ausnam am NAT-Klassifizéierer d'VPN-Adressen. D'Regelen ënnerscheede sech doran, wou d'Iwwersetzung iwwersprong gëtt.

Eng Filial bedreift Internet-PAT an eng Site-to-Site-VPN um selwechte Cisco-Gateway, an d'VPN hält op ze funktionéieren, soubal NAT derbäikënnt. D'Adressen am Tunnel passen net méi zu deem, wat d'Crypto-ACL schützt, oder de Peer gesäit iwwersate Adressen, fir déi en keng Route huet. Cisco léist dat op zwou Plazen: d'ASA wielt eng NAT-Regel, déi eng Adress op sech selwer abilt, während IOS de Floss iwwer en Deny an der ACL aus enger Iwwersetzungsregel eraushält. Béid behalen d'Originaladressen, an keen ass eng Ëmgoe vun der NAT-Verarbeitung.

Den Floss ophuelen, ier eng Regel gewielt gëtt

Fänkt domat un, de Floss opzeschreiwen, den Dir wëllt schützen: d'LAN-Quell, déi entfernte Destinatioun an dat genee Adresspaar, dat d'IPsec-Politik schützt. Maacht dat, ier Dir eng Regel ännert, well den Tupel weist, wéi en Klassifizéierer oder wéi eng NAT-Regel hätt misse passen.

Sicht duerno d'Regel, déi tatsächlech gepasst huet, net déi, déi Dir gemengt hutt. Op béide Plattforme gëtt NAT an enger Rei ausgewäert, an eng fréier Regel kann gewannen, ier Är Ausnam ugekuckt gëtt. Eng Ausnam, déi richteg ausgesäit, awer géint eng aner Regel verléiert, liwwert der Schutzpolitik ni dee erwaarte Pak. D'Symptom ass d'selwecht wéi bei enger fehlender Ausnam, dofir muss d'Reiefolleg vun de Regele gelies ginn, ier d'Konfiguratioun geännert gëtt.

ASA Identity NAT ass eng Regel, keng Ëmgoe

Op der ASA ass Identity NAT eng NAT-Regel, deier iwwersaten Adress gläich der Originaladress ass. Se gëtt wéi all aner Regel gewielt an installéiert nach ëmmer en Iwwersetzungsantrag, also iwwerspréngt de Pak d'NAT-Verarbeitung net. Geännert gëtt just, datt d'Adressen um Drot déiselwecht bleiwen, an dat ass, wat d'IPsec-Politik brauch.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

D'Interfacë vun der Regel an hir Route-Lookup-Astellungsmussen zum Weiderleitungsdesign passen. Eng Regel, déi d'Adress richteg abilt, awer op dat falscht Interfacepaar ugewannt gëtt, gëtt net fir Äre Floss gewielt. Route-Lookup entscheet, ob de iwwersate Pak gerout gëtt oder ob den originellen Destinatioun benotzt gëtt, an dat entscheet, ob de Réckverkéier duerch den Tunnel zeréckkënnt.

Den Administratiounszougang op d'ASA selwer ass en eegene Fall. Wann Dir Identity NAT fir Administratiounsverkéier benotzt, gëllt d'Release-ofhängeg Route-Lookup-Fuerderung, an eng breet Ausnam, déi aus engem VPN-Beispill kopéiert gouf, reparéiert SSH net.

En Deny an der IOS NAT-ACL heescht hei net gewielt

Op IOS gëtt Internet-NAT vun enger Quelllëscht gesteiert, an déi ACL ass en Klassifizéierer, keen Filter. Eng Permit-Zeil wielt Verkéier fir d'Iwwersetzung; eng Deny-Zeil heescht, datt de Pak hei net gewielt gëtt. Dee Deny ass keng Uweisung, de Pak ewechzegeheien, wéi en Deny an enger Interface-ACL.

Net gewielt hei ass och méi enk wéi néierens iwwersat. Eng aner NAT-Regel, en anert Interface oder eng Route-Map kënnen de Floss nach ëmmer iwwersetzen, dofir muss déi ganz NAT-Tabell gelies ginn. De Pak brauch och nach ëmmer eng Route, eng passend Crypto-ACL an Erlaabnes op den tatsächlechen Zougriffsgrenzen.

Eng minimal IOS-Uerdnung setzt den Deny iwwer de Permit an déiselwecht Lëscht a riicht d'Overload-Regel op déi Lëscht. Dann schützt d'Crypto-ACL dat selwecht Paar, dat den Deny vun der Iwwersetzung aushëlt.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Eng iwwerpréifbar Fro fir béid Modeller

Béid Modeller äntweren op déi selwecht Fro: wéi eng Regel huet dëse Floss getraff, a wéi eng Adressen hunn d'Interface verlooss? Fänkt op der baussenzeger Interface of a vergläicht d'Quelladress virun an no dem Gateway. Kuckt duerno d'Vue vum Peer op den Tunnel, well d'SA ka stoen, während de geschützte Floss sosswo iwwersat gëtt.

Op der ASA weist Dir nat detail an d'Iwwersetzungstabell; op IOS weist Dir ip nat translations an déi passend ACL-Zähler. Eng Regel, déi ni klëmmt, gouf ni gewielt, an dat weist op Reiefolleg, Interface oder Richtung an net op d'Crypto-Konfiguratioun.

Wou d'Konfiguratioun meeschtens falsch geet

D'heefeg Feeler si mechanesch. Den Deny steet ënner dem Permit a passt ni. De Klassifizéierer gëtt an déi falsch Richtung ugewannt, dofir gëtt de Réckfloss iwwersat. D'Identity-Regel deckt déi richteg Adressen, awer dat falscht Interfacepaar. D'Crypto-ACL schützt en Subnetz, deen net méi zu deem passt, wat d'NAT-Regel ubitt.

Notéiert dat originellt an dat ugebueden Adresspaar nieft dem Regelbesëtzer, sou datt den nächsten Ingenieur gesäit, firwat en Klassifizéierer d'Iwwersetzung refuséiert, während d'Firewall d'Applikatioun erlaabt. Halt dat an der Ännerungs-Ticket, net an enger perséinlecher Notiz. Fuert duerno de Floss no all NAT-Ännerung nach eng Kéier aus, well d'Reiefolleg vun de Regele Deel vun der Konfiguratioun ass, och wann den Text vun der Regel onverännert ass. En Tunnel, deen eropkënnt, ass keen Beweis, datt d'Adressen iwwerlieft hunn; nëmmen dee festgehalene Pak an d'entkapselt Vue vum Peer sinn et.

Ähnlech Artikelen