ASA hairpin: ഇന്റർനെറ്റ് എക്സിറ്റോ സൈറ്റ്-ടു-സൈറ്റ് VPN ലെഗ്ഗോ?

ഒരേ ASA-യ്ക്ക് പിന്നിലുള്ള രണ്ട് റിമോട്ട്-ആക്സസ് ഉപയോക്താക്കൾക്ക് ഒരേ പുറം ഇന്റർഫേസിൽ നിന്ന് ട്രാഫിക് അയക്കാം, എന്നാൽ തികച്ചും വ്യത്യസ്തമായ പെരുമാറ്റം ലഭിക്കാം. ഒരാൾ പൊതു വെബ്സൈറ്റിലേക്ക് പോകുന്നു, അതിനാൽ പാക്കറ്റിന് സോഴ്സ് വിവർത്തനവും ഇന്റർനെറ്റ് റൂട്ടും വേണം. മറ്റൊരാൾ അതേ ഇന്റർഫേസിൽ അവസാനിക്കുന്ന സൈറ്റ്-ടു-സൈറ്റ് ടണലിന് പിന്നിലെ സെർവറിലേക്ക് പോകുന്നു, അതിനാൽ പാക്കറ്റിന് ഐഡന്റിറ്റി, യോജിക്കുന്ന ടണൽ സെലക്ടർ, ക്ലയന്റ് പൂളിലേക്കുള്ള മടക്കപ്പാത എന്നിവ വേണം. ഒരേ ഇന്റർഫേസിനുള്ള അനുമതി രണ്ടിനും മുൻവ്യവസ്ഥയാണ്, ഒന്നിനും പരിഹാരവുമല്ല.

രണ്ട് ലെഗ്ഗുകൾ, ഒരു ഇന്റർഫേസ്

NAT നിയമം എഴുതുന്നതിന് മുമ്പ് ഏത് ലെഗ്ഗ് നിർമ്മിക്കുന്നു എന്ന് തീരുമാനിക്കുക, കാരണം നിയമങ്ങൾ പരസ്പരം മാറ്റാനാവില്ല. ലെഗ്ഗ് A ക്ലയന്റിൽ നിന്ന് ഇന്റർനെറ്റിലേക്കാണ്: പൂൾ വിലാസം അകത്തേക്ക്, വിവർത്തനം ചെയ്ത പൊതു വിലാസം പുറത്തേക്ക്, അതേ ഇന്റർഫേസിലൂടെ തിരികെ. ലെഗ്ഗ് B ക്ലയന്റിൽ നിന്ന് മറ്റൊരു IPsec പീയറിന്റെ മറുവശത്തുള്ള സ്വകാര്യ പ്രിഫിക്സിലേക്കാണ്: പൂൾ വിലാസം നിലനിർത്തുന്നു, വീണ്ടും എൻക്രിപ്റ്റ് ചെയ്യുന്നു, പൂളിനോട് എങ്ങനെ മറുപടി നൽകണമെന്ന് അറിയേണ്ട പീയറിന് കൈമാറുന്നു.

രണ്ടിനും ആദ്യം വേണ്ടത് അതേ ഇന്റർഫേസിനുള്ള അനുമതിയാണ്. അതില്ലാതെ പാക്കറ്റ് എത്തിയ ഇന്റർഫേസിൽ നിന്ന് അത് കൈമാറ്റം ചെയ്യാൻ ASA വിസമ്മതിക്കുന്നു, പരാജയം പോളിസി പ്രശ്നമല്ലാതെ റൂട്ടിംഗ് പ്രശ്നം പോലെ തോന്നുന്നു:

same-security-traffic permit intra-interface

ആ ഒരു വരി കൈമാറ്റ ക്രമീകരണത്തിന് അനുമതി നൽകുന്നു, അത് ASA NAT റഫറൻസ് ഒരേ ഇന്റർഫേസ് പാതകൾക്കായി വിവരിക്കുന്നു. അത് ക്ലയന്റ് റൂട്ട് ചേർക്കുന്നില്ല, റിസോഴ്സ് അനുവദിക്കുന്നില്ല, വിലാസം വിവർത്തനം ചെയ്യുന്നില്ല, IPsec സെലക്ടറിനെക്കുറിച്ച് ചർച്ച ചെയ്യുന്നുമില്ല, അതിനാൽ അതിന് ശേഷം മൂന്നോ നാലോ കാര്യങ്ങൾ കൂടി ചേർക്കുമെന്ന് പ്രതീക്ഷിക്കുക, അതിന്റെ സ്വീകാര്യതയെ പുരോഗതിയായി വായിക്കരുത്.

ലെഗ്ഗ് A: ക്ലയന്റിന് ഇന്റർനെറ്റ് വേണം

ഇന്റർനെറ്റ് എക്സിറ്റിന് പാക്കറ്റ് ഉപകരണം വിടുന്നതിന് മുമ്പ് പൂൾ വിലാസം സ്വകാര്യമല്ലാതാകണം. സാധാരണ PAT ഡിസൈനിൽ നിയമം പൂളിനെ പുറം ഇന്റർഫേസിന്റെ വിലാസത്തിലേക്ക് വിവർത്തനം ചെയ്യുന്നു, മടക്ക അവസ്ഥ ക്ലയന്റിലേക്കുള്ള ഫ്ലോ പുനഃസ്ഥാപിക്കുന്നു:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

തുടർന്ന് ക്ലയന്റ് യഥാർത്ഥത്തിൽ ആ ട്രാഫിക് വഹിക്കാൻ ASA-യോട് ആവശ്യപ്പെട്ടിട്ടുണ്ടെന്ന് സ്ഥിരീകരിക്കുക. സ്പ്ലിറ്റ്-ടണൽ ഒഴിവാക്കൽ പൊതു ലക്ഷ്യസ്ഥാനം ഫോണിന്റെ സ്വന്തം കണക്ഷനിലൂടെ അയക്കുന്നു, അത് ASA-യിൽ എത്തുന്നില്ല, ഒരിക്കലും അയക്കാത്ത പാക്കറ്റ് ഏത് NAT നിയമവും ശരിയാക്കുന്നില്ല. ഗ്രൂപ്പ് പോളിസിയുടെ സ്പ്ലിറ്റ്-ടണൽ പട്ടിക നിങ്ങൾ പരീക്ഷിക്കുന്ന ലക്ഷ്യസ്ഥാനവുമായി താരതമ്യം ചെയ്യുക.

ലെഗ്ഗിന്റെ ബാക്കി സാധാരണമാണ്: പുറം ഇന്റർഫേസിൽ നിന്ന് ഉപയോഗിക്കാവുന്ന ഡിഫോൾട്ട് അല്ലെങ്കിൽ നിർദ്ദിഷ്ട റൂട്ട്, ഫ്ലോ അനുവദിക്കുന്ന ആക്സസ് പോളിസി, നിങ്ങൾ തിരഞ്ഞെടുത്ത റിസോൾവർ പോളിസി പ്രകാരം കൈകാര്യം ചെയ്യുന്ന DNS. ഇവിടെ route-lookup താഴെ പറയുന്ന അതേ കാരണത്താൽ ചേർക്കുക, കാരണം പ്രവേശന, പുറപ്പെടൽ ഇന്റർഫേസുകൾ ഒരുപോലെയാണ്.

ലെഗ്ഗ് B: ക്ലയന്റിന് സ്വകാര്യ സൈറ്റ് വേണം

ഈ ലെഗ്ഗ് കൂടുതൽ സ്ഥലങ്ങളിൽ പരാജയപ്പെടുന്നു, അതിനാൽ ക്രമത്തിൽ എഴുതുക. ആദ്യം ക്ലയന്റ് റൂട്ട്: ലക്ഷ്യ പ്രിഫിക്സ് സ്പ്ലിറ്റ്-ടണൽ പട്ടികയിൽ ഉണ്ടായിരിക്കണം, അല്ലെങ്കിൽ ക്ലയന്റ് അത് ടണലിൽ ഇടില്ല. രണ്ടാമത് ടണൽ സെലക്ടർ: സൈറ്റ്-ടു-സൈറ്റ് ക്രിപ്റ്റോ ACL പൂൾ വിലാസം മുതൽ ദൂരെയുള്ള പ്രിഫിക്സ് വരെ ഉൾക്കൊള്ളണം, പ്രാദേശിക LAN മുതൽ ദൂരെയുള്ള പ്രിഫിക്സ് വരെ മാത്രമല്ല. മൂന്നാമത് ഐഡന്റിറ്റി, വഴിയിൽ പൂൾ വിലാസം ഇന്റർനെറ്റ് PAT-ലേക്ക് വിവർത്തനം ചെയ്യപ്പെടാതിരിക്കാൻ.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

അകലെയുള്ള വശം ആളുകൾ പരീക്ഷിക്കാൻ മറക്കുന്ന ഭാഗമാണ്. പീയറിന് പൂളിലേക്കുള്ള മടക്ക റൂട്ടും അത് ഉൾപ്പെടുത്തുന്ന സെലക്ടറും വേണം, കൂടാതെ അതിന്റെ സ്വന്തം പോളിസി അത് കാണുന്ന സോഴ്സ് വിലാസങ്ങൾ അനുവദിക്കണം. സൈറ്റ് പകരം വിവർത്തനം ചെയ്ത കാഴ്ചയിലൂടെ ഉപയോഗിക്കുന്നുവെങ്കിൽ അത് സാധുവായ ഡിസൈനാണ്, പക്ഷേ അപ്പോൾ രണ്ട് പീയറുകളും രണ്ട് സെലക്ടറുകളും രണ്ട് റൂട്ടിംഗ് പട്ടികകളും വിവർത്തനം ചെയ്ത വിലാസങ്ങളിൽ യോജിക്കണം.

നിയമങ്ങളുടെ ക്രമവും പരിശോധിക്കുക. ഐഡന്റിറ്റി നിയമത്തിന് മുകളിലുള്ള വിശാല PAT നിയമം ഐഡന്റിറ്റി നിയമം വിലയിരുത്തുന്നതിന് മുമ്പ് തന്നെ സ്വകാര്യ കൈമാറ്റം വിവർത്തനം ചെയ്യും, ലക്ഷണം NAT പിശകല്ല, മറിച്ച് യോജിക്കുന്ന SA ഇല്ലാത്ത സൈറ്റ് ടണലാണ്.

ഏത് ലെഗ്ഗ് നിർമ്മിച്ചുവെന്ന് പറയുന്ന പരീക്ഷണം

കോൺഫിഗറേഷൻ വായിച്ച് പ്രതീക്ഷിക്കുന്നതിന് പകരം ASA-യുടെ സ്വന്തം പാത മൂല്യനിർണ്ണയം ഉപയോഗിക്കുക. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed ഒരു ഫ്ലോയ്ക്കുള്ള NAT തീരുമാനം, റൂട്ട്, ACL ഫലം എന്നിവ കാണിക്കുന്നു; സ്വകാര്യ ലക്ഷ്യസ്ഥാനത്തോടെ അത് ആവർത്തിക്കുക. NAT ഘട്ടം സ്വകാര്യ-തോ-സ്വകാര്യ ഫ്ലോ മാറ്റിയെഴുതുന്നുവെങ്കിൽ, ലെഗ്ഗ് B ആവശ്യമായിരുന്ന പാക്കറ്റിന് നിങ്ങൾ ലെഗ്ഗ് A നിർമ്മിച്ചു.

കൂടുതൽ രണ്ട് കമാൻഡുകൾ വിടവ് അടയ്ക്കുന്നു. show nat detail packet-tracer പിന്തുടർന്ന നിയമ ക്രമം പ്രിന്റ് ചെയ്യുന്നു, കൂടാതെ show crypto ipsec sa നിങ്ങൾ പ്രതീക്ഷിക്കുന്ന ജോഡിക്ക് സെലക്ടർ ഉണ്ടോ എന്ന് കാണിക്കുന്നു. ഇല്ലാത്ത SA സെലക്ടർ അല്ലെങ്കിൽ പീയർ കോൺഫിഗറേഷന്റെ കാര്യമാണ്, NAT നിയമത്തിന് ശരിയാക്കാവുന്ന ഒന്നല്ല.

ഓരോ ലെഗ്ഗും അത് സേവിക്കുന്ന ട്രാഫിക് ഉപയോഗിച്ച് സ്ഥിരീകരിക്കുക

ലെഗ്ഗ് A ക്ലയന്റിന്റെ സാധാരണ പൊതു അഭ്യർത്ഥനയോടെയും ലെഗ്ഗ് B യഥാർത്ഥത്തിൽ നിലവിലുള്ള സ്വകാര്യ റിസോഴ്സിലേക്കുള്ള അഭ്യർത്ഥനയോടെയും സ്വീകരിക്കുക. തുടർന്ന് ഓരോന്നും നിരസിക്കപ്പെട്ട റിസോഴ്സിനൊപ്പം ആവർത്തിക്കുക, കാരണം “അനുവദിച്ചു”, “ആക്സസ് പോളിസി അംഗീകരിച്ചു” എന്നിവ ഒരേ തെളിവല്ല, കൂടാതെ ഹബ്ബിൽ നിന്ന് ഉത്ഭവിക്കുന്ന ping ക്ലയന്റ് പാതകളിൽ ഒന്നും പരിശീലിപ്പിക്കുന്നില്ല.

ടിക്കറ്റിൽ രണ്ട് പരീക്ഷണ റെക്കോർഡുകളും വെവ്വേറെ സൂക്ഷിക്കുക: സോഴ്സ് വിലാസം, ലക്ഷ്യസ്ഥാനം, യോജിച്ച NAT നിയമം, ഫലം. അടുത്ത റിപ്പോർട്ട് “VPN തകർന്നു” എന്ന് പറയുമ്പോൾ, ആ ജോഡി ഒരു മിനിറ്റിനുള്ളിൽ ഏത് ലെഗ്ഗ് പിന്നോട്ടുപോയെന്ന് പറയും, ഉത്തരം സാധാരണയായി റൂട്ടോ സെലക്ടറോ ആണ്, എല്ലാവരും ആദ്യം സംശയിക്കുന്ന അതേ-ഇന്റർഫേസ് വരിയല്ല.