ASA identity NAT pret IOS NAT izņēmumu VPN trafikam

Cisco vārtejos gan ASA identity NAT, gan IOS NAT klasifikatora izņēmums saglabā VPN adreses. Noteikumi atšķiras ar to, kur tulkojums tiek izlaists.

Filiāle uztur interneta PAT un site-to-site VPN vienā Cisco vārtejā, un VPN pārstāj darboties tajā brīdī, kad tiek pievienots NAT. Adreses tuneļa iekšienē vairs neatbilst tam, ko aizsargā crypto ACL, vai pretējā puse redz tulkotas adreses, kurām tai nav maršruta. Cisco to risina divās vietās: ASA izvēlas NAT noteikumu, kas adresi kartē uz to pašu, bet IOS ar ACL deny palīdzību notur plūsmu ārpus tulkošanas noteikuma. Abi saglabā sākotnējās adreses, un neviens nav NAT apstrādes apiešana.

Pierakstiet plūsmu pirms noteikuma izvēles

Sāciet ar plūsmas pierakstīšanu, ko plānojat aizsargāt: vietējais LAN avots, attālais galamērķis un precīzais adrešu pāris, ko aizsargā IPsec politika. Dariet to pirms noteikuma rediģēšanas, jo šī kopa parāda, kuram klasifikatoram vai NAT noteikumam bija jāatbilst.

Pēc tam atrodiet noteikumu, kas faktiski atbilda, nevis to, ko bijāt iecerējis. Abās platformās NAT tiek vērtēts noteiktā secībā, un agrāks noteikums var uzvarēt, pirms tiek izskatīts jūsu izņēmums. Izņēmums, kas izskatās pareizs, bet zaudē citam noteikumam, nekad nenodod gaidīto paketi aizsardzības politikai. Simptoms ir tāds pats kā trūkstošam izņēmumam, tāpēc pirms konfigurācijas maiņas ir jāizlasa noteikumu secība.

ASA identity NAT ir noteikums, nevis apiešana

ASA identity NAT ir NAT noteikums, kura tulkotā adrese ir vienāda ar sākotnējo. Tas tiek izvēlēts kā jebkurš cits noteikums un joprojām instalē tulkojuma ierakstu, tāpēc pakete neizlaiž NAT apstrādi. Mainās tas, ka adreses tīklā paliek tādas pašas, un tieši tas ir vajadzīgs IPsec politikai.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Noteikuma saskarnēm un tā route-lookup iestatījumam jāatbilst pārraides projektam. Noteikums, kas adresi kartē pareizi, bet tiek piemērots nepareizajam saskarņu pārim, jūsu plūsmai netiks izvēlēts. Route-lookup izlemj, vai tulkotā pakete tiks maršrutēta, vai tiks izmantots sākotnējais galamērķis, un tas nosaka, vai atgriešanās trafiks nāks atpakaļ pa tuneli.

Pārvaldības piekļuve pašai ASA ir atsevišķs gadījums. Ja pārvaldības trafikam izmantojat identity NAT, piemēro no versijas atkarīgo route-lookup prasību, un plašs izņēmums, kas nokopēts no VPN piemēra, SSH nesalabos.

Deny IOS NAT ACL nozīmē šeit nav izvēlēts

IOS interneta NAT vada avotu saraksts, un šis ACL ir klasifikators, nevis filtrs. Permit rinda izvēlas trafiku tulkošanai; deny rinda nozīmē, ka pakete šeit nav izvēlēta. Šis deny nav pavēle izmest paketi, kā deny saskarnes ACL gadījumā.

Nav izvēlēts šeit ir arī šaurāk nekā nekur nav tulkots. Cits NAT noteikums, cita saskarne vai route-map joprojām var tulkot plūsmu, tāpēc ir jāizlasa visa NAT tabula. Paketei joprojām vajag maršrutu, atbilstošu crypto ACL un atļauju faktiskajās piekļuves kontroles robežās.

Minimāls IOS izvietojums liek deny virs permit tajā pašā sarakstā un vērš overload noteikumu uz šo sarakstu. Tad crypto ACL aizsargā to pašu pāri, ko deny izslēdz no tulkošanas.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Viens pārbaudāms jautājums abiem modeļiem

Abi modeļi atbild uz vienu un to pašu jautājumu: kurš noteikums atbilda šai plūsmai un kuras adreses atstāja saskarni? Uzņemiet ārējā saskarnē un salīdziniet avota adresi pirms vārtejas un pēc tās. Pēc tam pārbaudiet pretējās puses skatījumu uz tuneli, jo SA var būt pacelts, kamēr aizsargātā plūsma tiek tulkota citur.

ASA rādiet nat detail un tulkojumu tabulu; IOS rādiet ip nat translations un atbilstošos ACL skaitītājus. Noteikums, kas nekad nepieaug, nekad nav bijis izvēlēts, un tas norāda uz secību, saskarni vai virzienu, nevis crypto konfigurāciju.

Kur konfigurācija parasti sabojājas

Biežākie bojājumi ir mehāniski. Deny atrodas zem permit un nekad neatbilst. Klasifikators tiek piemērots nepareizā virzienā, tāpēc atgriešanās plūsma tiek tulkota. Identity noteikums aptver pareizās adreses, bet nepareizo saskarņu pāri. Crypto ACL aizsargā apakštīklu, kas vairs neatbilst tam, ko uzrāda NAT noteikums.

Pierakstiet sākotnējo un uzrādīto adrešu pāri blakus noteikuma īpašniekam, lai nākamais inženieris redzētu, kāpēc klasifikators atsakās tulkot, kamēr ugunsmūris atļauj lietotni. Glabājiet to izmaiņu biļetenā, nevis personīgā piezīmē. Pēc tam pēc katras NAT izmaiņas palaidiet plūsmu vēlreiz, jo noteikumu secība ir konfigurācijas daļa arī tad, ja noteikuma teksts nav mainījies. Pacelts tunelis nav pierādījums, ka adreses izdzīvoja; tikai uztvertā pakete un pretējās puses atšifrētais skats.

Saistītie raksti