Split-Tunnel befreit keen ëffentlechen Host vun den NAT-Regele vun der ASA

Eng Split-Include-Route zitt en ëffentlechen Host an den Tunnel, wou d’ASA en hairpinen an d’Quell iwwersetze muss. Fehlt eng vun den zwou Etappen, fällt de Flux.

Split-Tunnel gëtt normalerweis als eng Manéier beschriwwen, fir de Firmenverkéier am Tunnel ze halen an de Rescht vum Internet ausserhalb vun der Firewall. Béid Hälften vun där Beschreiwung si gläichfërmeg falsch. Split-Tunnel ass eng Routing-Entscheedung vum Client, an eng Routing-Entscheedung seet näischt driwwer aus, wat mam Pak geschitt, nodeems en den Headend erreecht huet.

Een eenzegen Partnersservice op enger ëffentlecher Adress, déi drop insistéiert, d’Adress vun Ärem Haaptsëtz ze gesinn, genüügt, fir d’Geschicht ze briechen.

De Mythos: Split-Tunnel hëlt d’Firewall aus dem Wee

D’Iwwerzeegung ass, datt all Destinatioun ausserhalb vun de privaten Beräicher op der lokaler Internetverbindung bleift, sou datt d’Firewall se ni gesäit an ni eng Reegele brauch. Dat gëllt nëmme sou laang wéi d’Destinatioun net an der Tunnellëscht steet. Dee Moment, wou en Operateur en ëffentlechen Host an d’ACL split-include setzt, schéckt de Client dee Verkéier an den Tunnel, an d’ASA muss en routeieren, filteréieren an iwwersetzen wéi all aneren entschlësselten Flux. Um Client huet sech näischt geännert ausser der Destinatiounslëscht.

De Client ass keen Router ginn. Hien huet d’Politik befollegt, déi Dir him ginn hutt.

Wat eng Split-Include-Route tatsächlech mécht

An enger Cisco ASA Remote-Access-Konfiguratioun dréit d’Gruppepolitik split-tunnel-policy tunnelspecified an eng split-tunnel-network-list, déi eng Standard-ACL bezeechent. All Permit-Zeil an där ACL ass eng Destinatioun, déi de Client an den Tunnel schécke soll, an alles anescht benotzt weider déi lokal Standardroute.

Een Host dobäizemaachen ass eng eenzeg Zeil, an dat ass deen eenzegen Deel vun der Ännerung, deen de Client ka gesinn: access-list RA-SPLIT standard permit host 203.0.113.20.

Verbënnt de Client duerno nei. D’Politik gëtt bei der Verbindung ausgetosch, sou datt eng bestoend Sitzung déi al Lëscht behält an d’Ännerung sou ausgesäit, wéi wann se näischt gemaach hätt.

De Pak kënnt un a geet iwwer déiselwecht Interface eraus

Verfollegt elo de Flux no der Entschlësselung. De Pak koum iwwer den VPN-Tunnel op der baussenzeger Interface eran, seng Destinatioun ass eng ëffentlech Adress, an d’Routingtabell schéckt en iwwer déiselwecht baussenzeg Interface nees Richtung Internet. Verkéier, deen iwwer eng Interface erakënnt an erausgeet, gëtt verworf, ausser et gëtt der ASA erlaabt, an dat mécht same-security-traffic permit intra-interface. Ouni dat schléit d’Verbindung op eng Manéier feel, déi wéi e Routingproblem ausgesäit an et net ass.

Dës Astellung ass global. Si erlaabt Hairpinning fir all Flux, deen et brauch, net nëmme fir dësen Partnershost, dofir gehéiert se an eng iwwerpréift Ännerung an net an en schnelle Test.

Firwat e PAT, dee op d’Destinatioun begrenzt ass, net fakultativ ass

D’Quelladress um entschlësselte Pak ass nach ëmmer d’VPN-Adress vum Client, typesch aus engem Pool wéi 10.77.0.0/24. Dës Adress huet keng Route am ëffentlechen Internet, also äntwert de Partner entweder ni oder äntwert a knascht.

D’Iwwersetzung korrigéiert d’Quell an léisst d’Destinatioun onberéiert. Well d’Objete schonn anzwousch anescht definéiert sinn, huet eng manuell Reegele, déi op dës Destinatioun begrenzt ass, dës Form:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

Den Deel destination static ass wichteg. Wann een en ewechléisst, gëtt d’Reegele eng breet Iwwersetzung, déi op vill méi Verkéier passe kann wéi virgesinn, an eng breet identity-Reegele méi fréi an der Rei kann déi hei komplett schloen. Kontrolléiert show nat detail an d’Reiefolleg vun den Abschnitter, ier Dir unhëlt, datt Är Reegele déi ass, déi passt.

Interface-PAT bedeit och, datt de Partner d’Interfaceadress vun der ASA gesäit, déi flossop nach eng Kéier iwwersat ka ginn. Wann de Kontrakt eng Adress nennt, bestätegt se vun Enn zu Enn an net op engem eenzegen Hop.

Beweist et mat der richteger Testdestinatioun

Benotzt de Partnershost selwer, net eng allgemeng what-is-my-ip-Säit. Déi Säit läit bal sécher baussent der Split-Lëscht, also mëllt se Är lokal Internetadress a seet näischt iwwer dëse Wee. Maacht eng nei Verbindung zum Partnersservice op a frot se, wéi eng Quell se observéiert hunn, oder fuert packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed aus a liest d’NAT- an d’Routingsetappen Zeil fir Zeil. En Traceroute vum Client ass eng méi schwaach Kontroll, well en de Wee weist, deen schon geschitt ass, an net d’Politik, déi en ausgewielt huet.

Kontrolléiert duerno, wat sech net soll ännere. Eng gewéinlech Websäit muss weider iwwer d’lokal Verbindung erausgoen, an eng privat Ressource an der Tunnellëscht muss weider erreechbar sinn. Eng Ännerung, déi de Partner fléckt an eng vun deenen zwee brécht, ass en anere Fehler.

Déi funktionéierend Versioun vun dësem Design ass kuerz: een Host an der Split-ACL, Hairpin-Erlaabnis, eng PAT-Reegele begrenzt op d’Destinatioun. Alles anescht an der Geschicht ass de Mythos.

Ähnlech Artikelen