ASA VPN hairpin: ഒരു ഇന്റർഫേസിലൂടെ രണ്ട് ടണലുകൾ റൂട്ട് ചെയ്യൽ

ഒരു റിമോട്ട് ഉപയോക്താവ് ASA-യിലേക്ക് കണക്ട് ചെയ്യുന്നു, ഒരു ശാഖയ്ക്ക് പിന്നിലുള്ള ഹോസ്റ്റ് ആവശ്യപ്പെടുന്നു, ഉപയോക്താവ് വന്ന അതേ ഇന്റർഫേസിലൂടെ തന്നെ ASA ആ അഭ്യർത്ഥന പുറത്തയക്കുന്നു. അതിൽ ഒന്നും രണ്ടാമതൊരു ഫിസിക്കൽ പോർട്ട് ആവശ്യപ്പെടുന്നില്ല. ആവശ്യമായത് നാല് സ്വതന്ത്ര തീരുമാനങ്ങളാണ്, ആളുകൾ സാധാരണയായി അവയെ ഒന്നായി ചേർക്കുന്നു: hairpin ചെയ്യാനുള്ള അനുമതി, ശരിയായ വിലാസങ്ങളെ സംരക്ഷിക്കുന്ന ടണൽ, നിങ്ങൾ വാഗ്ദാനം ചെയ്ത ഉറവിടം നിലനിർത്തുന്ന NAT നയം, സേവനത്തെ അധികാരപ്പെടുത്തുന്ന ആക്സസ് നയം.

ഒരു പാക്കറ്റ്, രണ്ട് ടണലുകൾ

പ്രവാഹം പിന്തുടരുക, പ്രവർത്തനങ്ങളുടെ ക്രമം ദുരൂഹമല്ലാതാകും. പാക്കറ്റ് റിമോട്ട് ആക്സസ് ടണലിനുള്ളിൽ എത്തുന്നു, ഡീക്രിപ്റ്റ് ചെയ്യപ്പെടുന്നു, ക്ലയന്റ് പൂളിൽ നിന്ന് ഉറവിടമുള്ള സാധാരണ IP പാക്കറ്റായി മാറുന്നു. തുടർന്ന് ASA അത് റൂട്ട് ചെയ്യുന്നു, സൈറ്റ്-ടു-സൈറ്റ് crypto ACL-മായി പൊരുത്തപ്പെടുത്തുന്നു, വീണ്ടും എൻക്രിപ്റ്റ് ചെയ്ത് പുറം ഇന്റർഫേസിലൂടെ ശാഖയിലേക്ക് അയക്കുന്നു.

താഴെയുള്ള വിലാസങ്ങൾ ഉദാഹരണങ്ങളാണ്, പക്ഷേ രൂപം പ്രധാനമാണ്: ഉറവിടം പൂളാണ്, ASA-യുടെ ആന്തരിക LAN അല്ല.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

ഇതിൽ നിന്ന് രണ്ട് കാര്യങ്ങൾ ഉണ്ടാകുന്നു. ക്ലയന്റിന് തന്റെ റിമോട്ട് ആക്സസ് കണക്ഷനിലൂടെ ശാഖയുടെ പ്രിഫിക്സിലേക്ക് ഒരു റൂട്ട് വേണം, അതായത് split-tunnel അല്ലെങ്കിൽ അയക്കപ്പെടുന്ന റൂട്ട് ലിസ്റ്റിൽ അത് ഉൾപ്പെടുത്തണം. ശാഖയ്ക്ക് ട്രാഫിക് 10.77.0.20-ലേക്കോ നിങ്ങളുടെ NAT ഡിസൈൻ മാറ്റിസ്ഥാപിച്ച വിലാസത്തിലേക്കോ എങ്ങനെ തിരികെ അയക്കണം എന്ന് അറിയണം.

hairpin അനുമതി ആഗോളമാണ്

ആളുകൾ ആശ്രയിക്കുന്ന കമാൻഡ് same-security-traffic permit intra-interface ആണ്. ട്രാഫിക് ഒരേ ഇന്റർഫേസിൽ പ്രവേശിച്ച് പുറത്തുപോകാൻ ഇത് അനുവദിക്കുന്നു, ഈ പാതയ്ക്ക് കൃത്യമായി അതാണ് വേണ്ടത്. ഇത് ആഗോള ക്രമീകരണവുമാണ്: ഇത് പ്രവർത്തനക്ഷമമാക്കുന്നത് ഒരേ ഇന്റർഫേസ് രണ്ടുതവണ കടക്കുന്ന മറ്റ് പ്രവാഹങ്ങളുടെ സ്വഭാവം മാറ്റുന്നു.

അതുകൊണ്ടാണ് ഇത് ഡീബഗ്ഗിംഗ് സെഷനല്ല, മാറ്റരേഖയിൽ ഉൾപ്പെടേണ്ടത്. ഉപകരണത്തിൽ ഇനി എന്തെല്ലാം ഇതേ ഇന്റർഫേസ് പാത സ്വീകരിക്കാം, അവയിൽ എന്തെങ്കിലും അങ്ങനെ ചെയ്യേണ്ടതുണ്ടോ എന്ന് ചോദിക്കുക. അതിഥി നെറ്റ്വർക്കുകളോ ഓവർലാപ്പ് ചെയ്യുന്ന പങ്കാളി ടണലുകളോ ഉള്ള തിരക്കുള്ള അറ്റത്ത് ഉത്തരം യാന്ത്രികമായി ഇല്ല എന്നല്ല. ക്രമീകരണത്തിന് അരികിൽ കാരണം എഴുതുക, കാരണം അടുത്ത എൻജിനീയർ കമാൻഡ് കണ്ടെത്തും, സംഭാഷണമല്ല.

സംരക്ഷണ പരിധിയും NAT-ഉം വെവ്വേറെയാണ്

സൈറ്റ്-ടു-സൈറ്റ് ടണൽ അതിന്റെ crypto ACL തിരഞ്ഞെടുക്കുന്നതിനെ സംരക്ഷിക്കുന്നു. ആ ACL ഉറവിടമായി ASA-യുടെ ആന്തരിക സബ്നെറ്റ് പേരിട്ടാൽ, റിമോട്ട് ആക്സസ് പൂൾ സംരക്ഷിക്കപ്പെടുന്നില്ല, പാക്കറ്റ് ഒന്നുകിൽ ഉപേക്ഷിക്കപ്പെടും അല്ലെങ്കിൽ പൊരുത്തപ്പെടാത്ത ട്രാഫിക്കിനോടുള്ള പ്ലാറ്റ്ഫോമിന്റെ സ്വഭാവം അനുസരിച്ച് തുറന്ന് അയക്കപ്പെടും. ഡിസൈൻ പൂൾ വിലാസങ്ങൾ നിലനിർത്തുമ്പോൾ പൂൾ സംരക്ഷിത പ്രവാഹത്തിൽ ചേർക്കുക.

പിന്നീട് NAT പൂൾ വിലാസം നിലനിൽക്കുന്നുണ്ടോ എന്ന് തീരുമാനിക്കുന്നു. Identity NAT അത് നിലനിർത്തുന്നു, ശാഖ 10.77.0.20-നെ ഉറവിടമായി കാണുന്നു. വിവർത്തനം കരാർ മാറ്റുന്നു: ശാഖ ഇപ്പോൾ ട്രാഫിക് വിവർത്തനം ചെയ്ത വിലാസത്തിലേക്ക് തിരികെ അയക്കുന്നു, അതിന്റെ സ്വന്തം നയം അത് സ്വീകരിക്കണം. നിയമങ്ങളുടെ ക്രമം crypto ACL വിവർത്തനത്തിന് മുമ്പോ ശേഷമോ പൊരുത്തപ്പെടുന്നു എന്ന് തീരുമാനിക്കുന്നു, അതിനാൽ ഏത് വിജയിക്കും എന്ന് അനുമാനിക്കാതെ യഥാർത്ഥ പ്രവാഹം വായിക്കുക.

ഒരു ട്രാൻസിറ്റ് കേസ് പ്രവർത്തിക്കാൻ പൊതുവായ ഇന്റർനെറ്റ് PAT നിയമങ്ങൾ ഇല്ലാതാക്കരുത്. ലക്ഷ്യബോധത്തോടെയുള്ള ഒഴിവാക്കലോ ബോധപൂർവമുള്ള identity നിയമമോ ഔട്ട്ബൗണ്ട് നയത്തിൽ ഒരു ദ്വാരം ഉണ്ടാക്കുന്നതിനേക്കാൾ വിശദീകരിക്കാനും പിൻവലിക്കാനും എളുപ്പമാണ്.

എൻക്രിപ്ഷൻ അധികാരമല്ല

പ്രവർത്തിക്കുന്ന ടണൽ രണ്ട് കക്ഷികൾ കീകളിലും സെലക്ടറുകളിലും യോജിക്കുന്നു എന്ന് മാത്രം തെളിയിക്കുന്നു. ഈ ഉപയോക്താവിന് ആ സേവനത്തിൽ എത്താമോ എന്നതിനെക്കുറിച്ച് അത് ഒന്നും പറയുന്നില്ല. റിമോട്ട് ആക്സസ് കണക്ഷനോട് ഘടിപ്പിച്ച VPN ഫിൽട്ടറോ ഗ്രൂപ്പ് നയമോ ഇപ്പോഴും ശാഖയുടെ ലക്ഷ്യവും പോർട്ടും അനുവദിക്കണം, പുറം പാതയിലെ ഇന്റർഫേസ് ACL ഇപ്പോഴും ബാധകമാണ്.

ഉത്തരം രണ്ട് ദിശകളിലും പരീക്ഷിക്കുക. അടുത്തുള്ള സേവനം പരാജയപ്പെടേണ്ടതായിരിക്കെ വിജയിക്കുന്ന കണക്ഷൻ ഒരു വിജയകരമായ ping-നെക്കാൾ വിവരദായകമാണ്, കാരണം നയം തുറന്നതല്ല, തിരഞ്ഞെടുക്കുന്നതാണ് എന്ന് അത് കാണിക്കുന്നു. നിരസിക്കേണ്ട പരീക്ഷണം വിജയിച്ചാൽ കുറ്റം ടണലിന്റേതല്ല, നയത്തിന്റേതാണ്. രണ്ട് ഫലങ്ങളും മാറ്റരേഖയിൽ സൂക്ഷിക്കുക, അടുത്ത വ്യക്തിക്ക് ഏത് സ്വഭാവമാണ് ഉദ്ദേശിച്ചതെന്ന് അറിയാൻ.

hairpin അല്ലെങ്കിൽ രണ്ടാമത്തെ ഇന്റർഫേസ്

hairpin ട്രാൻസിറ്റ് ഡിസൈൻ ചെറുതായി നിലനിർത്തുന്നു, ഒരു ആഗോള ക്രമീകരണം മാത്രം ചെലവാകുന്നു. വേറിട്ട ഇന്റർഫേസോ സ്വന്തം വെർച്വൽ ഇന്റർഫേസുള്ള റൂട്ട് അധിഷ്ഠിത ടണലോ ട്രാൻസിറ്റ് പാതയെ വേർതിരിക്കുകയും ഓരോ ഇന്റർഫേസിനും നയം നൽകുകയും ചെയ്യുന്നു, പകരം വിലാസനിർണ്ണയവും മറ്റൊരു crypto map അല്ലെങ്കിൽ പ്രൊഫൈലും ചെലവാകും. ഒന്നും കൂടുതൽ ശരിയല്ല; അവ വ്യത്യസ്തമായി പരാജയപ്പെടുന്നു.

റൂട്ട് അധിഷ്ഠിത ഡിസൈനുകൾ മറ്റൊരു ക്രമീകരണമാണ്, അതേ കോൺഫിഗറേഷനിലെ ഒരു ചെക്ക്ബോക്സല്ല. നിങ്ങൾ അതിലേക്ക് മാറിയാൽ, മുകളിലുള്ള നയ അധിഷ്ഠിത crypto ACL ചർച്ച ബാധകമല്ലാതാകും, റൂട്ടിംഗ് ടേബിൾ തിരഞ്ഞെടുപ്പ് ജോലി ചെയ്യാൻ തുടങ്ങും.

യഥാർത്ഥ ക്ലയന്റിൽ നിന്ന് പരിശോധിക്കുക

ASA-യിൽ നിന്ന് ആരംഭിക്കുന്ന പരിശോധനയ്ക്ക് വ്യത്യസ്ത ഉറവിട വിലാസമുണ്ട്, അത് പൂളിൽ നിന്ന് ശാഖയിലേക്കുള്ള പാത പരിശീലിക്കില്ല. അഞ്ച്-ഘടകം പരിശോധിക്കാൻ packet-tracer ഉപയോഗിക്കുക, തുടർന്ന് യഥാർത്ഥ റിമോട്ട് ക്ലയന്റിൽ നിന്ന് യഥാർത്ഥ കണക്ഷൻ തുറക്കുക, കാരണം ട്രെയ്സർ അനുകരിക്കുന്നു, ക്ലയന്റിന്റെ സ്വന്തം റൂട്ടിംഗും നയവും മാറ്റിസ്ഥാപിക്കുന്നില്ല.

ആസൂത്രിത മാറ്റത്തിന് ശേഷം പ്രവർത്തിക്കേണ്ട സേവനത്തിലേക്ക് കണക്ട് ചെയ്യുക, പിന്നീട് നിരസിക്കേണ്ട സേവനത്തിലേക്ക്, തുടർന്ന് ശാഖയുടെ തിരിച്ചുവരവ് റൂട്ട് സ്ഥിരീകരിക്കുക. Cisco-യുടെ VPN hairpin NAT ഉദാഹരണങ്ങൾ intra-interface അനുമതി, NAT, ACL എന്നിവ ദൃശ്യമായി വേർതിരിച്ച് നിലനിർത്തുന്നു, അതാണ് പകർത്താൻ യോഗ്യമായ മാനസിക മാതൃക.