ASA hairpin: izeja internetā vai VPN atzars starp vietnēm?

Klientu pūls var iziet internetā vai vietnes VPN. Pirms NAT rakstīšanas izlemiet, kurš atzars jums vajadzīgs, pēc tam pārbaudiet maršrutu, selektoru un atbildes ceļu.

Divi attālinātās piekļuves lietotāji aiz viena un tā paša ASA var sūtīt trafiku no tās pašas ārējās saskarnes un saņemt pilnīgi atšķirīgu apstrādi. Viens dodas uz publisku vietni, tāpēc paketam vajag avota tulkošanu un interneta maršrutu. Otrs dodas uz serveri aiz vietņu savienojuma tuneļa, kas arī beidzas šajā saskarnē, tāpēc paketam vajag identitāti, atbilstošu tuneļa selektoru un atgriešanās ceļu uz klientu pūlu. Tās pašas saskarnes atļauja ir priekšnoteikums abiem un risinājums nevienam.

Divi atzari, viena saskarne

Izlemiet, kuru atzaru būvējat, pirms rakstāt NAT noteikumu, jo noteikumi nav savstarpēji aizstājami. A atzars ir klients uz internetu: pūla adrese iekšā, tulkotā publiskā adrese ārā, atpakaļ pa to pašu saskarni. B atzars ir klients uz privātu prefiksu cita IPsec partnera otrā pusē: pūla adrese tiek saglabāta, atkārtoti šifrēta un nogādāta partnerim, kuram jāzina, kā atbildēt pūlam.

Tas, kas abiem vispirms vajadzīgs, ir tās pašas saskarnes atļauja. Bez tās ASA atsakās pārsūtīt paketu pa saskarni, kurā tas ieradās, un kļūme izskatās kā maršrutēšanas, nevis politikas problēma:

same-security-traffic permit intra-interface

Šī viena rinda atļauj pārsūtīšanas izkārtojumu, kā apraksta ASA NAT uzziņa ceļiem pa to pašu saskarni. Tā nepievieno klienta maršrutu, neautorizē resursu, netulko adresi un nepārrunā IPsec selektoru, tāpēc gaidiet, ka pēc tam būs jāpievieno vēl trīs vai četras lietas, un nelasiet tās pieņemšanu kā progresu.

A atzars: klients grib internetu

Lai izietu internetā, pūla adresei jāpārstāj būt privātai, pirms pakets atstāj ierīci. Parastā PAT dizainā noteikums tulko pūlu uz ārējās saskarnes adresi, un atgriešanās stāvoklis atjauno klienta virziena plūsmu:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Pēc tam apstipriniet, ka klients patiešām lūdza ASA pārvadāt šo trafiku. Sadalītā tuneļa izslēgšana sūta publisko galamērķi pa paša tālruņa savienojumu, kas ASA nekad nesasniedz, un neviens NAT noteikums nelabo paketu, kas nekad netika nosūtīts. Salīdziniet grupas politikas sadalītā tuneļa sarakstu ar galamērķi, ko testējat.

Pārējais atzars ir parasts: izmantojams noklusējuma vai konkrēts maršruts no ārējās saskarnes, piekļuves politika, kas atļauj plūsmu, un DNS, kas apstrādāts saskaņā ar izvēlēto risinātāja politiku. Pievienojiet route-lookup šeit tā paša iemesla dēļ kā zemāk, jo ieejas un izejas saskarnes ir identiskas.

B atzars: klients grib privātu vietni

Šis atzars neizdodas vairāk vietās, tāpēc rakstiet to secībā. Vispirms klienta maršruts: galamērķa prefiksam jābūt sadalītā tuneļa sarakstā, citādi klients to neliks tunelī. Otrkārt, tuneļa selektors: vietņu kripto ACL jāaptver pūla adrese līdz attālajam prefiksam, ne tikai vietējais LAN līdz attālajam prefiksam. Treškārt, identitāte, lai pūla adrese ceļā netiktu tulkota interneta PAT.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Attālā puse ir tā daļa, ko cilvēki aizmirst testēt. Partnerim vajag maršrutu atpakaļ uz pūlu un selektoru, kas to ietver, un viņa paša politikai jāatļauj avota adreses, ko viņš redzēs. Ja vietne tiek izmantota ar tulkotu skatu, tā ir derīga shēma, bet tad abiem partneriem, abiem selektoriem un abām maršrutēšanas tabulām jāvienojas par tulkotajām adresēm.

Pārbaudiet arī noteikumu secību. Plats PAT noteikums virs identitātes noteikuma iztulkos privāto apmaiņu, pirms identitātes noteikums vispār tiks novērtēts, un simptoms būs vietnes tunelis bez atbilstoša SA, nevis NAT kļūda.

Tests, kas pasaka, kuru atzaru jūs uzbūvējāt

Izmantojiet paša ASA ceļa novērtējumu, nevis lasiet konfigurāciju un ceriet. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed parāda NAT lēmumu, maršrutu un ACL rezultātu vienai plūsmai; atkārtojiet ar privātu galamērķi. Ja NAT fāze pārraksta plūsmu no privāta uz privātu, jūs uzbūvējāt A atzaru paketam, kuram vajadzēja B atzaru.

Vēl divas komandas aizver plaisu. show nat detail izdrukā noteikumu secību, kurai sekoja packet-tracer, un show crypto ipsec sa parāda, vai gaidītajam pārim eksistē selektors. Trūkstošs SA ir selektora vai partnera konfigurācijas jautājums, nevis kaut kas, ko NAT noteikums var salabot.

Pārbaudiet katru atzaru ar trafiku, kam tas kalpo

Pieņemiet A atzaru ar parastu publisku klienta pieprasījumu, bet B atzaru ar pieprasījumu uz privātu resursu, kas tiešām eksistē. Pēc tam atkārtojiet katru ar noraidītu resursu, jo „atļauts“ un „piekļuves politikas apstiprināts“ nav viens un tas pats pierādījums, un no koncentratora nākošs ping nevingrina nevienu klienta ceļu.

Turiet divus testa ierakstus atsevišķi biļetenā: avota adrese, galamērķis, atbilstošais NAT noteikums un rezultāts. Kad nākamais ziņojums teiks „VPN ir salūzis“, šis pāris minūtes laikā pateiks, kurš atzars ir pasliktinājies, un atbilde parasti ir maršruts vai selektors, nevis tās pašas saskarnes rinda, ko visi vispirms aizdomās.

Saistītie raksti