VPN траффикийн хувьд ASA identity NAT ба IOS NAT үл хамаарах байдал

Cisco гарцууд дээр ASA identity NAT болон IOS NAT ангилагчийн үл хамаарах байдал хоёулаа VPN хаягийг хадгална. Дүрмүүд нь орчуулга хаана алгасагдахаараа ялгаатай.

Салбар нэг Cisco гарц дээр интернэт PAT болон site-to-site VPN-ийг ажиллуулдаг бөгөөд NAT нэмэгдэх тэр мөчид VPN ажиллахаа болино. Туннель доторх хаягууд crypto ACL-ийн хамгаалж буйтай тохирохоо болино, эсвэл эсрэг тал маршрутгүй орчуулагдсан хаягуудыг харна. Cisco үүнийг хоёр газар шийддэг: ASA хаягийг өөр рүү нь буулгах NAT дүрмийг сонгодог бол IOS ACL доторх deny-ээр урсгалыг орчуулгын дүрмээс гадуур барина. Хоёулаа анхны хаягийг хадгалдаг бөгөөд аль нь ч NAT боловсруулалтыг тойрч гарахгүй.

Дүрэм сонгохын өмнө урсгалыг тэмдэглэ

Хамгаалахыг хүсч буй урсгалаа бичээрэй: дотоод LAN-ийн эх, алсын очих газар, IPsec бодлогоор хамгаалагдах яг хаягийн хос. Дүрмийг засахаас өмнө үүнийг хий, учир нь энэ багц аль ангилагч эсвэл NAT дүрэм тохирох ёстойг харуулна.

Дараа нь зорьсон дүрмээ биш, бодитоор тохирсон дүрмийг ол. Хоёр платформ дээр NAT тодорхой дарааллаар үнэлэгддэг бөгөөд таны үл хамаарах байдал харагдахаас өмнө өмнөх дүрэм ялж болно. Зөв харагдах боловч өөр дүрэмд ялагддаг үл хамаарах байдал нь хүлээгдэж буй пакетыг хамгаалалтын бодлогод хүргэхгүй. Шинж тэмдэг нь үл хамаарах байдал байхгүйтэй ижил тул тохиргоог өөрчлөхийн өмнө дүрмийн дарааллыг унших ёстой.

ASA identity NAT бол дүрэм, тойрч гарах биш

ASA дээр identity NAT нь орчуулагдсан хаяг нь анхны хаягтай тэнцүү NAT дүрэм юм. Үүнийг бусад дүрэм шиг сонгодог бөгөөд орчуулгын бүртгэлийг үүсгэсээр байдаг тул пакет NAT боловсруулалтыг алгасахгүй. Өөрчлөгдөх нь сүлжээн дэх хаягууд хэвээр үлдэх бөгөөд IPsec бодлогод яг үүн л хэрэгтэй.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Дүрмийн интерфейсүүд болон түүний route-lookup тохиргоо дамжуулалтын загвартай тохирох ёстой. Хаягийг зөв буулгадаг боловч буруу интерфейсийн хос дээр хэрэгжих дүрэм таны урсгалд сонгогдохгүй. Route-lookup нь орчуулагдсан пакетыг маршрутжуулах эсвэл анхны очих газрыг ашиглахыг шийдэх бөгөөд энэ нь буцах урсгал туннелээр буцаж ирэх эсэхийг тодорхойлно.

ASA өөрт нь хандах удирдлагын хандалт нь тусдаа тохиолдол. Хэрэв удирдлагын урсгалд identity NAT ашиглаж байгаа бол хувилбараас хамаарах route-lookup шаардлага үйлчилнэ, мөн VPN жишээнээс хуулбарласан өргөн үл хамаарах байдал SSH-г засахгүй.

IOS NAT ACL доторх deny нь энд сонгогдоогүй гэсэн үг

IOS дээр интернэт NAT эх сурвалжийн жагсаалтаар удирдагдах бөгөөд тэр ACL нь шүүлтүүр биш, ангилагч юм. Permit мөр нь урсгалыг орчуулгад сонгоно; deny мөр нь пакет энд сонгогдоогүй гэсэн үг. Тэр deny нь интерфейсийн ACL дахь deny шиг пакетыг хаях тушаал биш.

Энд сонгогдоогүй гэдэг нь хаана ч орчуулагдаагүйгээс ч нарийн. Өөр NAT дүрэм, өөр интерфейс эсвэл route-map урсгалыг орчуулж болзошгүй тул бүх NAT хүснэгтийг унших ёстой. Пакетэд мөн маршрут, тохирох crypto ACL, бодит хандалтын хяналтын хил дээр зөвшөөрөл хэрэгтэй.

Хамгийн бага IOS зохион байгуулалт deny-г ижил жагсаалтын permit-ээс дээш тавьж, overload дүрмийг тэр жагсаалт руу чиглүүлнэ. Тэгвэл crypto ACL нь deny орчуулгаас хассан хосыг хамгаална.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Хоёр загварт нэг шалгаж болох асуулт

Хоёр загвар ижил асуултад хариулна: энэ урсгалтай аль дүрэм тохирсон, ямар хаягууд интерфейсээс гарсан бэ? Гадаад интерфейс дээр бичлэг хийж, гарцын өмнөх ба дараах эх хаягийг харьцуул. Дараа нь эсрэг талын туннелийн харалтыг шалга, учир нь SA боссон байхад хамгаалагдсан урсгал өөр газар орчуулагдаж болно.

ASA дээр nat detail болон орчуулгын хүснэгтийг харуул; IOS дээр ip nat translations болон холбогдох ACL тоологчийг харуул. Хэзээ ч өсдөггүй дүрэм хэзээ ч сонгогдоогүй бөгөөд энэ нь crypto тохиргоо биш, дараалал, интерфейс эсвэл чиглэлийг заана.

Тохиргоо ихэвчлэн хаана алдаа гаргадаг

Түгээмэл алдаа нь механик. Deny permit-ийн доор байрлаж хэзээ ч тохирохгүй. Ангилагч буруу чиглэлд хэрэглэгдэж, буцах урсгал орчуулагдана. Identity дүрэм зөв хаягийг хамардаг ч буруу интерфейсийн хосыг хамардаг. Crypto ACL нь NAT дүрмийн танилцуулж буйтай тохирохоо больсон дэд сүлжээг хамгаална.

Анхны болон танилцуулсан хаягийн хосыг дүрмийн эзний хажууд тэмдэглэ, ингэснээр дараагийн инженер ангилагч яагаад орчуулгаас татгалзаж, галт хана програмыг зөвшөөрч байгааг харна. Үүнийг хувийн тэмдэглэлд биш, өөрчлөлтийн тасалбарт хадгал. Дараа нь NAT-ын аливаа өөрчлөлтийн дараа урсгалыг дахин ажиллуул, учир нь дүрмийн текст өөрчлөгдөөгүй ч дүрмийн дараалал тохиргооны хэсэг юм. Боссон туннель хаягууд хадгалагдсаны баталгаа биш; зөвхөн бичиж авсан пакет болон эсрэг талын задалсны дараах харагдац л баталгаа.

Холбоотой нийтлэлүүд