ASA VPN hairpin: рутирање два тунела низ еден интерфејс

Сообраќајот на далечински корисник може да излезе низ истиот ASA интерфејс на кој пристигна, но дозволата за hairpin, опсегот на тунелот, NAT и ACL се четири одделни одлуки.

Далечински корисник се поврзува со ASA, бара домаќин зад филијала, и ASA го испраќа тоа барање низ токму истиот интерфејс на кој пристигна корисникот. Ништо од тоа не бара втор физички порт. Она што го бара се четири независни одлуки што луѓето имаат навика да ги спојат во една: дозвола за hairpin, тунел што ги штити вистинските адреси, NAT политика што го зачувува изворот што го ветивте, и пристапна политика што ја овластува услугата.

Еден пакет, два тунели

Следете го текот и редоследот на операциите престанува да биде мистерија. Пакетот пристигнува внатре во тунелот за далечински пристап, се дешифрира и станува обичен IP пакет со извор од базенот на клиенти. Потоа ASA го рутира, го споредува со crypto ACL од локација до локација, го шифрира повторно и го испраќа низ надворешниот интерфејс кон филијалата.

Адресите подолу се илустративни, но формата е важна: изворот е базенот, не внатрешниот LAN на ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Од тоа произлегуваат две работи. На клиентот му треба рута за префиксот на филијалата низ неговата врска за далечински пристап, што значи split-tunnel или испратената листа на рути мора да ја вклучи. А филијалата мора да знае како да го врати сообраќајот на 10.77.0.20 или на адресата што ја заменил вашиот NAT дизајн.

Дозволата за hairpin е глобална

Командата по која луѓето посегнуваат е same-security-traffic permit intra-interface. Таа дозволува сообраќајот да влезе и излезе низ истиот интерфејс, што е точно она што му треба на овој пат. Таа е и глобално поставување: нејзиното вклучување го менува однесувањето на други текови што случајно двапати поминуваат низ истиот интерфејс.

Затоа таа припаѓа во запис за промени, а не во сесија за отстранување грешки. Прашајте што друго на уредот сега може да заземе пат низ истиот интерфејс и дали нешто од тоа треба. На прометен раб со гостински мрежи или преклопени партнерски тунели, одговорот не е автоматски не. Запишете ја причината до поставувањето, бидејќи следниот инженер ќе ја најде командата, а не разговорот.

Опсегот на заштита и NAT се одделни

Тунелот од локација до локација го штити она што го избира неговиот crypto ACL. Ако тој ACL ја именува внатрешната подмрежа на ASA како извор, базенот за далечински пристап не е заштитен и пакетот или ќе биде отфрлен или испратен отворено, зависно од однесувањето на платформата со несоодветен сообраќај. Додајте го базенот во заштитениот тек кога дизајнот ги зачувува адресите на базенот.

Потоа NAT одлучува дали адресата на базенот преживува. Identity NAT ја зачувува и филијалата го гледа 10.77.0.20 како извор. Преводот го менува договорот: филијалата сега враќа сообраќај на преведената адреса и нејзината сопствена политика мора да го прифати. Редоследот на правилата одлучува дали crypto ACL се совпаѓа пред или по преводот, затоа читајте го фактичкиот тек наместо да претпоставувате кој победува.

Не ги бришете општите PAT правила за интернет за да работи еден транзитен случај. Циленото изземање или намерното identity правило полесно се објаснува и враќа од дупка во излезната политика.

Шифрирањето не е овластување

Работен тунел докажува само дека два врва се согласни за клучевите и селекторите. Тој не кажува ништо за тоа дали овој корисник смее да ја достигне таа услуга. VPN филтерот или групната политика прикачени на врската за далечински пристап сè уште мора да ја дозволуваат дестинацијата и портата на филијалата, а ACL на интерфејсот на надворешниот пат сè уште важи.

Тестирајте го одговорот во двете насоки. Врска што успева додека соседната услуга треба да не успее е поинформативна од еден успешен ping, бидејќи покажува дека политиката е селективна, а не широко отворена. Ако тестот што треба да биде одбиен успее, не е виновен тунелот, туку политиката. Зачувајте ги двата резултати во записот за промени за следниот човек да знае какво однесување било наменето.

Hairpin или втор интерфејс

Hairpin транзитот го држи дизајнот мал и чини едно глобално поставување. Одделен интерфејс или рутирачки тунел со сопствен виртуелен интерфејс го изолира транзитниот пат и ви дава политика по интерфејс, по цена на адресирање и уште една crypto map или профил. Ниту едно не е поточно; тие не успеваат различно.

Рутирачките дизајни се друг распоред, а не поле за штиклирање во истата конфигурација. Ако преминете на таков, дискусијата погоре за crypto ACL заснован на политики престанува да важи и табелата за рутирање почнува да ја врши работата на избор.

Проверете од вистинскиот клиент

Сондата стартувана од ASA има друга изворна адреса и нема да го помине патот од базенот до филијалата. Користете packet-tracer за проверка на петорката, потоа отворете вистинска врска од фактичкиот далечински клиент, бидејќи трагачот симулира и не го заменува сопственото рутирање и политика на клиентот.

По планирана промена, поврзете се со услуга што треба да работи, потоа со онаа што треба да биде одбиена, и на крај потврдете ја повратната рута на филијалата. примерите на Cisco за VPN hairpin NAT ги држат дозволата intra-interface, NAT и ACL видливо одделни, и тоа е мисловниот модел што вреди да се копира.

Поврзани статии