ASA VPN hairpin: zwee Tunnelen duerch eng eenzeg Interface routen

Den Trafik vun engem Remote-Benotzer kann déiselwecht ASA-Interface verloossen, op där en ukomm ass, awer Hairpin-Erlaabnis, Tunnelëmfang, NAT an ACLen sinn véier getrennt Entscheedungen.

E Remote-Benotzer verbënnt sech mat der ASA, freet en Host hannert enger Filial, an d'ASA schéckt dës Ufro duerch genee déi Interface eraus, op där de Benotzer ukomm ass. Näischt dovu brauch en zweete physesche Port. Wat et brauch, sinn véier onofhängeg Entscheedungen, déi d'Leit gär zu enger zesummebréngen: Erlaabnis fir en Hairpin, en Tunnel deen déi richteg Adressen schützt, eng NAT-Politik déi d'Quell behält déi du versprach hues, an eng Zougangspolitik déi de Service autoriséiert.

Ee Pak, zwee Tunnelen

Verfolleg de Floss an d'Reiefolleg vun den Operatioune ass net méi geheimnisvoll. De Pak kënnt bannent dem Remote-Access-Tunnel un, gëtt entschlësselt an ass eng gewéinlech IP-Pak mat enger Quell aus dem Client-Pool. Duerno rout d'ASA en, gläicht en mam Crypto-ACL vu Site zu Site of, verschlësselt en erëm a schéckt en iwwer déi baussenzeg Interface a Richtung Filial.

D'Adressen hei drënner sinn illustrativ, awer d'Form ass wichteg: d'Quell ass de Pool, net d'intern LAN vun der ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Zwou Saache follegen doraus. De Client brauch eng Route fir de Filialpräfix iwwer seng Remote-Access-Verbindung, dat heescht de Split-Tunnel oder d'Lëscht vun de gedréckte Route muss se enthalen. An d'Filial muss wëssen, wéi se den Trafik op 10.77.0.20 oder op déi Adress zréckgëtt, déi deng NAT-Design ersat huet.

D'Hairpin-Erlaabnis ass global

De Kommando, no deem d'Leit gräifen, ass same-security-traffic permit intra-interface. En erlaabt dem Trafik an déiselwecht Interface eranzekommen an erauszegoe, wat genee dat ass wat dëse Wee brauch. Et ass och eng global Astellung: se aktivéieren ännert d'Verhalen anerer Flëss, déi zufälleg zweemol duerch déiselwecht Interface ginn.

Dofir gehéiert en an en Ännerungsprotokoll an net an eng Debug-Sessioun. Fro wéi wat soss um Apparat elo en Wee iwwer déiselwecht Interface huele kéint, an ob iergendeppes dovun et soll. Op engem beschäftegte Rand mat Gaaschtnetzwierker oder iwwerlaapte Partner-Tunnelen ass d'Äntwert net automatesch nee. Schrëft de Grond nieft der Astellung, well den nächsten Ingenieur fënnt de Kommando an net d'Gespréich.

Schutzëmfang an NAT sinn getrennt

Den Tunnel vu Site zu Site schützt wat säi Crypto-ACL auswielt. Wann dësen ACL d'intern Subnetz vun der ASA als Quell nennt, ass de Remote-Access-Pool net geschützt an de Pak gëtt entweder verworf oder am Kloren geschéckt, jee no Verhalen vun der Plattform fir net passenden Trafik. Setz de Pool an de geschützte Floss, wann d'Design d'Pooladressen erhält.

Duerno entscheet NAT ob d'Pooladress iwwerlieft. Identity NAT behält se, an d'Filial gesäit 10.77.0.20 als Quell. D'Iwwersetzung ännert de Kontrakt: d'Filial schéckt den Trafik elo op déi iwwersat Adress zréck, an hir eege Politik muss dat akzeptéieren. D'Reiefolleg vun de Regele bestëmmt, ob de Crypto-ACL virun oder no der Iwwersetzung passt, also lies de wierksame Floss amplaz unzehuelen wien gewënnt.

Läsch net d'allgemeng Internet-PAT-Regele fir een eenzegen Transitfall ze schaffen. Eng gezielt Ausnam oder eng bewosst Identity-Regel ass méi einfach z'erklären an z'erëmzehuelen wéi en Lach an der Ausgangspolitik.

Verschlësselung ass keng Autorisatioun

En funktionéierenden Tunnel beweist just, datt zwee Peeren sech iwwer Schlësselen a Selektoren eens sinn. En seet näischt doriwwer, ob dëse Benotzer dee Service erreeche kann. De VPN-Filter oder d'Gruppepolitik, déi un der Remote-Access-Verbindung hänkt, muss nach ëmmer d'Zil an de Port vun der Filial erlaben, an den Interface-ACL um baussenzege Wee gëllt nach ëmmer.

Test d'Äntwert a béid Richtungen. Eng Verbindung déi geléngt, wärend en Nopeschservice sollte feelen, ass informatiiver wéi een eenzegen erfollegräichen Ping, well se weist datt d'Politik selektiv an net wäit op ass. Wann den Test deen deverweert soll ginn geléngt, ass net den Tunnel schold; et ass d'Politik. Halt béid Resultater am Ännerungsprotokoll, sou datt déi nächst Persoun weess wéi ee Verhalen et geduecht war.

Hairpin oder eng zweet Interface

Hairpin-Transit hält d'Design kleng a kascht eng global Astellung. Eng separat Interface, oder en routebaséierten Tunnel mat senger eegener virtueller Interface, isoléiert de Transitwee a gëtt dir Politik pro Interface, op Käschte vun Adresséierung an engem weideren Crypto-Map oder Profil. Keng ass méi korrekt; se versoe sech ënnerschiddlech.

Routebaséiert Designe sinn eng aner Anuerdnung, net eng Këscht an der selwechter Konfiguratioun. Wann s du op een esou wiesselt, hält d'Diskussioun uewe iwwer de politybaséierte Crypto-ACL op ze gëllen an d'Routentabelle fänkt un d'Auswiel ze maachen.

Verifizéier vum richtege Client

Eng Sonde vun der ASA huet eng aner Quelladress an exercéiert de Wee vum Pool bis an d'Filial net. Benotz packet-tracer fir de Fënnef-Tupel ze kontrolléieren, an dann eng richteg Verbindung vum tatsächleche Remote-Client opzemaachen, well den Tracer simuléiert an ersetzt net dem Client seng eegen Routage a Politik.

No enger geplanter Ännerung verbënns dech mat engem Service deen sollte schaffen, duerno mat engem deen devrait verworf ginn, an dann bestäteg d'Retourroute vun der Filial. Ciscos Beispiller fir VPN-Hairpin-NAT halen d'Intra-Interface-Erlaabnis, NAT an ACLen sichtbar getrennt, an dat ass de mentalen Modell dee wäert ass ze kopéieren.

Ähnlech Artikelen