ASA identity NAT prieš IOS NAT išimtį VPN srautui

Cisco šliuzuose ir ASA identity NAT, ir IOS NAT klasifikatoriaus išimtis išlaiko VPN adresus. Taisyklės skiriasi tuo, kur vertimas praleidžiamas.

Filialas laiko interneto PAT ir site-to-site VPN tame pačiame Cisco šliuze, ir VPN nustoja veikti tą akimirką, kai pridedamas NAT. Adresai tunelio viduje nebeatitinka to, ką saugo crypto ACL, arba priešinė pusė mato išverstus adresus, kuriems neturi maršruto. Cisco tai sprendžia dviejose vietose: ASA parenka NAT taisyklę, kuri adresą susieja su juo pačiu, o IOS ACL deny pagalba laiko srautą už vertimo taisyklės ribų. Abi išlaiko pradinius adresus, ir nė viena nėra NAT apdorojimo apėjimas.

Užsirašykite srautą prieš rinkdamiesi taisyklę

Pradėkite nuo srauto, kurį ketinate saugoti, užrašymo: vietinio LAN šaltinis, nuotolinis tikslas ir tiksli adresų pora, kurią saugo IPsec politika. Atlikite tai prieš redaguodami taisyklę, nes šis rinkinys parodo, kuris klasifikatorius ar NAT taisyklė turėjo atitikti.

Tada raskite taisyklę, kuri iš tikrųjų atitiko, o ne tą, kurią ketinote. Abiejose platformose NAT vertinamas tam tikra tvarka, ir ankstesnė taisyklė gali laimėti prieš tai, kai bus apsvarstyta jūsų išimtis. Taisyklingai atrodanti išimtis, kuri pralaimi kitai taisyklei, niekada neperduoda laukiamo paketo apsaugos politikai. Simptomas toks pat kaip trūkstamos išimties, todėl prieš keičiant konfigūraciją reikia perskaityti taisyklių tvarką.

ASA identity NAT yra taisyklė, o ne apėjimas

ASA atveju identity NAT yra NAT taisyklė, kurios išverstas adresas lygus pradiniam. Ji parenkama kaip bet kuri kita taisyklė ir vis tiek įdiegia vertimo įrašą, todėl paketas nepraleidžia NAT apdorojimo. Keičiasi tik tai, kad adresai tinkle išlieka tokie patys, o būtent to reikia IPsec politikai.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Taisyklės sąsajos ir jos route-lookup nuostata turi atitikti perdavimo projektą. Taisyklė, kuri teisingai susieja adresą, bet taikoma netinkamai sąsajų porai, nebus parinkta jūsų srautui. Route-lookup nusprendžia, ar išverstas paketas bus maršrutizuojamas, ar naudojamas pradinis tikslas, ir tai lemia, ar grįžtamasis srautas grįš per tunelį.

Administravimo prieiga prie pačios ASA yra atskiras atvejis. Jei administravimo srautui naudojate identity NAT, galioja nuo versijos priklausantis route-lookup reikalavimas, o plati išimtis, nukopijuota iš VPN pavyzdžio, SSH nesutvarkys.

Deny IOS NAT ACL reiškia, kad čia nepasirinkta

IOS interneto NAT valdomas šaltinių sąrašu, o ta ACL yra klasifikatorius, ne filtras. Permit eilutė parenka srautą vertimui; deny eilutė reiškia, kad paketas čia nepasirinktas. Tas deny nėra nurodymas mesti paketą, kaip deny sąsajos ACL atveju.

Nepasirinkta čia yra ir siauriau nei niekur neišversta. Kita NAT taisyklė, kita sąsaja ar route-map vis dar gali išversti srautą, todėl reikia perskaityti visą NAT lentelę. Paketui vis dar reikia maršruto, atitinkančios crypto ACL ir leidimo tikrose prieigos kontrolės ribose.

Minimalus IOS išdėstymas deda deny virš permit tame pačiame sąraše ir nukreipia overload taisyklę į tą sąrašą. Tada crypto ACL saugo tą pačią porą, kurią deny išskiria iš vertimo.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Vienas patikrinamas klausimas abiem modeliams

Abu modeliai atsako į tą patį klausimą: kuri taisyklė atitiko šį srautą ir kurie adresai paliko sąsają? Užfiksuokite išorinėje sąsajoje ir palyginkite šaltinio adresą prieš šliuzą ir po jo. Tada patikrinkite priešinės pusės požiūrį į tunelį, nes SA gali būti pakeltas, kol saugomas srautas verčiamas kitur.

ASA rodydami nat detail ir vertimo lentelę; IOS rodydami ip nat translations ir atitinkamus ACL skaitiklius. Taisyklė, kuri niekada nedidėja, niekada nebuvo parinkta, ir tai rodo tvarką, sąsają ar kryptį, o ne crypto konfigūraciją.

Kur konfigūracija dažniausiai sugenda

Įprasti gedimai yra mechaniniai. Deny yra po permit ir niekada neatitinka. Klasifikatorius taikomas netinkama kryptimi, todėl grįžtamasis srautas verčiamas. Identity taisyklė apima teisingus adresus, bet netinkamą sąsajų porą. Crypto ACL saugo potinklį, kuris nebeatitinka to, ką pateikia NAT taisyklė.

Užrašykite pradinę ir pateikiamą adresų porą prie taisyklės savininko, kad kitas inžinierius matytų, kodėl klasifikatorius atmeta vertimą, o ugniasienė leidžia programą. Laikykite tai pakeitimo biliete, ne asmeninėje pastaboje. Tada po kiekvieno NAT pakeitimo paleiskite srautą iš naujo, nes taisyklių tvarka yra konfigūracijos dalis net tada, kai taisyklės tekstas nepakito. Pakeltas tunelis neįrodo, kad adresai išliko; tik užfiksuotas paketas ir priešinės pusės po dekapsuliavimo matomas vaizdas.

Susiję straipsniai