ASA hairpin: išėjimas į internetą ar VPN atšaka tarp svetainių?

Klientų telkinys gali išeiti į internetą arba į svetainės VPN. Nuspręskite, kurios atšakos jums reikia prieš rašydami NAT, tada patikrinkite maršrutą, selektorių ir atsakymo kelią.

Du nuotolinės prieigos vartotojai už to paties ASA gali siųsti srautą iš tos pačios išorinės sąsajos ir sulaukti visiškai skirtingo elgesio. Vienas eina į viešą svetainę, todėl paketui reikia šaltinio vertimo ir interneto maršruto. Kitas eina į serverį už svetainių ryšio tunelio, kuris taip pat baigiasi toje sąsajoje, todėl paketui reikia tapatybės, atitinkančio tunelio selektoriaus ir grįžimo kelio į klientų telkinį. Tos pačios sąsajos leidimas yra abiejų prielaida ir nė vieno sprendimas.

Dvi atšakos, viena sąsaja

Nuspręskite, kurią atšaką statote, prieš rašydami NAT taisyklę, nes taisyklės nėra keičiamos. A atšaka yra klientas į internetą: telkinio adresas į vidų, išverstas viešas adresas į išorę, atgal per tą pačią sąsają. B atšaka yra klientas į privatų prefiksą kito IPsec partnerio kitoje pusėje: telkinio adresas išsaugomas, iš naujo užšifruojamas ir pristatomas partneriui, kuris turi žinoti, kaip atsakyti telkiniui.

Abiem pirmiausia reikia tos pačios sąsajos leidimo. Be jo ASA atsisako persiųsti paketą per sąsają, kurioje jis atvyko, ir gedimas atrodo kaip maršrutizavimo, o ne politikos problema:

same-security-traffic permit intra-interface

Ta viena eilutė leidžia persiuntimo išdėstymą, kaip aprašo ASA NAT žinynas to paties sąsajos keliams. Ji neprideda kliento maršruto, neįgalina ištekliaus, neverčia adreso ir nesidera dėl IPsec selektoriaus, todėl tikėkitės po jos pridėti dar tris ar keturis dalykus ir neskaiykite jos priėmimo kaip pažangos.

A atšaka: klientas nori interneto

Norint išeiti į internetą, telkinio adresas turi nustoti būti privatus, kol paketas palieka įrenginį. Įprastoje PAT schemoje taisyklė verčia telkinį į išorinės sąsajos adresą, o grįžimo būsena atkuria kliento krypties srautą:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Tada patvirtinkite, kad klientas tikrai paprašė ASA perduoti tą srautą. Skaldyto tunelio išimtis siunčia viešą paskirties vietą per paties telefono ryšį, kuris niekada nepasiekia ASA, ir jokia NAT taisyklė nepataiso paketo, kuris niekada nebuvo išsiųstas. Palyginkite grupės politikos skaldyto tunelio sąrašą su paskirties vieta, kurią testuojate.

Likusi atšakos dalis įprasta: naudojamas numatytasis arba konkretus maršrutas iš išorinės sąsajos, prieigos politika, leidžianti srautą, ir DNS, tvarkomas pagal pasirinktą sprendėjo politiką. Pridėkite route-lookup čia dėl tos pačios priežasties kaip toliau, nes įėjimo ir išėjimo sąsajos yra identiškos.

B atšaka: klientas nori privačios svetainės

Ši atšaka nepavyksta daugiau vietų, todėl rašykite ją eilės tvarka. Pirma kliento maršrutas: paskirties prefiksas turi būti skaldyto tunelio sąraše, kitaip klientas jo nedės į tunelį. Antra tunelio selektorius: svetainių kriptografinis ACL turi apimti telkinio adresą iki nuotolinio prefikso, o ne tik vietinį LAN iki nuotolinio prefikso. Trečia tapatybė, kad telkinio adresas pakeliui nebūtų išverstas į interneto PAT.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Nuotolinė pusė yra ta dalis, kurią žmonės pamiršta testuoti. Partneriui reikia maršruto atgal į telkinį ir selektoriaus, kuris jį apima, ir jo paties politika turi leisti šaltinio adresus, kuriuos jis matys. Jei svetainė naudojama per išverstą vaizdą, tai galiojanti schema, bet tada abu partneriai, abu selektoriai ir abi maršrutizavimo lentelės turi sutarti dėl išverstų adresų.

Patikrinkite ir taisyklių tvarką. Plati PAT taisyklė virš tapatybės taisyklės išvers privatų mainus dar prieš įvertinant tapatybės taisyklę, o simptomas yra svetainės tunelis be atitinkančio SA, o ne NAT klaida.

Testas, kuris pasako, kurią atšaką pastatėte

Naudokite paties ASA kelio vertinimą, o ne skaitykite konfigūraciją ir tikėkitės. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed rodo NAT sprendimą, maršrutą ir ACL rezultatą vienam srautui; pakartokite su privačia paskirties vieta. Jei NAT fazė perrašo srautą iš privataus į privatų, pastatėte A atšaką paketui, kuriam reikėjo B atšakos.

Dar dvi komandos uždaro spragą. show nat detail išspausdina taisyklių tvarką, kurios laikėsi packet-tracer, ir show crypto ipsec sa parodo, ar yra selektorius laukiamai porai. Trūkstamas SA yra selektoriaus ar partnerio konfigūracijos klausimas, o ne tai, ką NAT taisyklė gali pataisyti.

Patikrinkite kiekvieną atšaką srautu, kurį ji aptarnauja

Priimkite A atšaką įprasta vieša kliento užklausa, o B atšaką – užklausa į privatų išteklių, kuris tikrai egzistuoja. Tada pakartokite kiekvieną su atmestu ištekliumi, nes „leidžiama“ ir „prieigos politikos patvirtinta“ nėra tas pats įrodymas, o iš koncentratoriaus kylantis ping neišbando nė vieno kliento kelio.

Laikykite du testo įrašus atskirai biliete: šaltinio adresas, paskirties vieta, atitikusi NAT taisyklė ir rezultatas. Kai kitas pranešimas pasakys „VPN sulaužytas“, ta pora per minutę pasakys, kuri atšaka regresavo, ir atsakymas paprastai yra maršrutas arba selektorius, o ne tos pačios sąsajos eilutė, kurią visi pirmiausia įtaria.

Susiję straipsniai