ASA VPN hairpin: divu tuneļu maršrutēšana caur vienu interfeisu

Attālināta lietotāja plūsma var iziet pa to pašu ASA interfeisu, pa kuru tā ienāca, taču hairpin atļauja, tuneļa tvērums, NAT un ACL ir četri atsevišķi lēmumi.

Attālināts lietotājs pieslēdzas ASA, pieprasa resursdatoru aiz filiāles, un ASA nosūta šo pieprasījumu pa tieši to interfeisu, pa kuru lietotājs ienāca. Nekas no tā neprasa otru fizisko portu. Nepieciešami ir četri neatkarīgi lēmumi, ko cilvēki mēdz sapludināt vienā: atļauja veikt hairpin, tunelis, kas aizsargā pareizās adreses, NAT politika, kas saglabā apsolīto avotu, un piekļuves politika, kas atļauj pakalpojumu.

Viens pakets, divi tuneļi

Izsekojiet plūsmai, un darbību secība pārstāj būt noslēpumaina. Pakets ierodas attālinātās piekļuves tunelī, tiek atšifrēts un kļūst par parastu IP paketi ar avotu no klientu pūla. Pēc tam ASA to maršrutē, salīdzina ar vietnes uz vietni crypto ACL, šifrē vēlreiz un nosūta pa ārējo interfeisu uz filiāli.

Zemāk minētās adreses ir ilustratīvas, taču forma ir svarīga: avots ir pūls, nevis ASA iekšējais LAN.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

No tā izriet divas lietas. Klientam ir vajadzīgs maršruts uz filiāles prefiksu caur tā attālinātās piekļuves savienojumu, kas nozīmē, ka split-tunnel vai nosūtītais maršrutu saraksts to iekļauj. Un filiālei jāzina, kā atgriezt plūsmu uz 10.77.0.20 vai uz adresi, ko aizstājis jūsu NAT dizains.

Hairpin atļauja ir globāla

Komanda, pie kuras cilvēki ķeras, ir same-security-traffic permit intra-interface. Tā ļauj plūsmai ieiet un iziet pa vienu un to pašu interfeisu, un tas ir tieši tas, kas šim ceļam vajadzīgs. Tas ir arī globāls iestatījums: tā iespējošana maina to citu plūsmu uzvedību, kas nejauši divreiz šķērso to pašu interfeisu.

Tāpēc tas pieder izmaiņu reģistram, nevis atkļūdošanas sesijai. Pajautājiet, kas vēl ierīcē tagad var iet pa tā paša interfeisa ceļu un vai kaut kam no tā vajadzētu. Noslogotā malā ar viesu tīkliem vai pārklājošiem partneru tuneļiem atbilde nav automātiski nē. Pierakstiet iemeslu blakus iestatījumam, jo nākamais inženieris atradīs komandu, nevis sarunu.

Aizsardzības tvērums un NAT ir atsevišķi

Vietnes uz vietni tunelis aizsargā to, ko izvēlas tā crypto ACL. Ja šis ACL kā avotu nosauc ASA iekšējo apakštīklu, attālinātās piekļuves pūls nav aizsargāts un pakets tiks vai nu nomests, vai nosūtīts atklātā veidā, atkarībā no platformas uzvedības ar nesakrītošu plūsmu. Pievienojiet pūlu aizsargātajai plūsmai, ja dizains saglabā pūla adreses.

Tad NAT izlemj, vai pūla adrese izdzīvo. Identity NAT to saglabā, un filiāle redz 10.77.0.20 kā avotu. Tulkošana maina līgumu: filiāle tagad atgriež plūsmu uz tulkoto adresi, un tās pašas politikai tas jāpieņem. Noteikumu secība nosaka, vai crypto ACL sakrīt pirms vai pēc tulkošanas, tāpēc lasiet faktisko plūsmu, nevis pieņemiet, kura uzvar.

Nedzēsiet vispārīgos interneta PAT noteikumus, lai strādātu viens tranzīta gadījums. Mērķēta izņēmums vai apzināts identity noteikums ir vieglāk izskaidrojams un atceļams nekā caurums izejošajā politikā.

Šifrēšana nav autorizācija

Strādājošs tunelis pierāda tikai to, ka divas puses vienojas par atslēgām un selektoriem. Tas neko nesaka par to, vai šis lietotājs drīkst sasniegt šo pakalpojumu. Attālinātās piekļuves savienojumam piesaistītajam VPN filtram vai grupas politikai joprojām jāatļauj filiāles galamērķis un ports, un ārējā ceļa interfeisa ACL joprojām ir spēkā.

Pārbaudiet atbildi abos virzienos. Savienojums, kas izdodas, kamēr blakus pakalpojumam vajadzētu neizdoties, ir informatīvāks par vienu veiksmīgu ping, jo tas parāda, ka politika ir selektīva, nevis plaši atvērta. Ja testam, kuram vajadzētu būt liegtam, izdodas, vainīgs nav tunelis, bet politika. Saglabājiet abus rezultātus izmaiņu reģistrā, lai nākamā persona zinātu, kāda uzvedība bija iecerēta.

Hairpin vai otrs interfeiss

Hairpin tranzīts saglabā dizainu mazu un maksā vienu globālu iestatījumu. Atsevišķs interfeiss vai maršrutēšanā balstīts tunelis ar savu virtuālo interfeisu izolē tranzīta ceļu un dod politiku katram interfeisam, par adresācijas un vēl vienas crypto map vai profila cenu. Neviens nav pareizāks; tie neizdodas atšķirīgi.

Maršrutēšanā balstīti dizaini ir cits izkārtojums, nevis ķeksītis tajā pašā konfigurācijā. Ja pārejat uz tādu, iepriekš minētā diskusija par uz politiku balstītu crypto ACL vairs neattiecas un maršrutēšanas tabula sāk veikt atlases darbu.

Pārbaudiet no īstā klienta

No ASA palaists zondei ir cita avota adrese, un tā neizies ceļu no pūla līdz filiālei. Izmantojiet packet-tracer piecinieka pārbaudei, pēc tam atveriet īstu savienojumu no faktiskā attālinātā klienta, jo izsekotājs simulē un neaizstāj paša klienta maršrutēšanu un politiku.

Pēc plānotas izmaiņas pievienojieties pakalpojumam, kam jādarbojas, tad tam, kam jābūt liegtam, un pēc tam apstipriniet filiāles atgriešanās maršrutu. Cisco VPN hairpin NAT piemēri redzami atsevišķi tur intra-interface atļauju, NAT un ACL, un tas ir domāšanas modelis, ko ir vērts kopēt.

Saistītie raksti