ASA VPN hairpin: нэг интерфейсээр хоёр туннель чиглүүлэх

Алсын хэрэглэгчийн урсгал ирсэн ASA интерфейсээрээ гарч болно, гэхдээ hairpin зөвшөөрөл, туннелийн хүрээ, NAT болон ACL нь дөрвөн тусдаа шийдвэр юм.

Алсын хэрэглэгч ASA-д холбогдож, салбарын ард байгаа хост хүсэж, ASA тэр хүсэлтийг хэрэглэгч орж ирсэн яг тэр интерфейсээр гаргаж илгээдэг. Үүний юу ч хоёр дахь физик порт шаарддаггүй. Харин дөрвөн бие даасан шийдвэр шаарддаг бөгөөд хүмүүс тэдгээрийг нэг болгон нэгтгэх хандлагатай: hairpin хийх зөвшөөрөл, зөв хаягуудыг хамгаалах туннель, амласан эх сурвалжийг хадгалах NAT бодлого, үйлчилгээг зөвшөөрөх хандалтын бодлого.

Нэг пакет, хоёр туннель

Урсгалыг дагавал үйлдлийн дараалал нууцлаг байхаа болино. Пакет алсын хандалтын туннель дотор ирж, тайлагдаж, клиентийн сангаас эх сурвалжтай энгийн IP пакет болно. Дараа нь ASA түүнийг чиглүүлж, сайт хоорондын crypto ACL-тэй тулгаж, дахин шифрлээд гадаад интерфейсээр салбар руу илгээдэг.

Доорх хаягууд нь жишээ боловч хэлбэр нь чухал: эх сурвалж нь сан, ASA-ийн дотоод LAN биш.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Эндээс хоёр зүйл гарна. Клиент салбарын префикс рүү алсын хандалтын холболтоороо чиглэл хэрэгтэй, өөрөөр хэлбэл split-tunnel эсвэл илгээгдсэн чиглэлийн жагсаалтад үүнийг оруулах ёстой. Мөн салбар урсгалыг 10.77.0.20 руу эсвэл таны NAT загвар орлуулсан хаяг руу хэрхэн буцаахыг мэдэх ёстой.

hairpin зөвшөөрөл нь глобал

Хүмүүсийн хэрэглэдэг команд нь same-security-traffic permit intra-interface. Энэ нь урсгалыг нэг интерфейсээр орох, гарахыг зөвшөөрдөг бөгөөд энэ замд яг үүнийг хэрэгтэй. Энэ нь мөн глобал тохиргоо: үүнийг асаахад нэг интерфейсээр хоёр удаа явдаг бусад урсгалын зан төлөв өөрчлөгддөг.

Тиймээс энэ нь алдаа засах сессийд биш, өөрчлөлтийн бүртгэлд хамаарна. Төхөөрөмж дээр өөр юу одоо энэ интерфейсийн замаар явж болох, тэдгээрийн аль нэг нь явах ёстой эсэхийг асуугаарай. Зочдын сүлжээ эсвэл давхцсан түншийн туннель бүхий завгүй захад хариулт автоматаар үгүй биш юм. Шалтгааныг тохиргооны дэргэд бичээрэй, учир нь дараагийн инженер команд олно, яриаг олохгүй.

Хамгаалалтын хүрээ ба NAT нь тусдаа

Сайт хоорондын туннель өөрийн crypto ACL-ийн сонгосныг хамгаална. Хэрэв тэр ACL эх сурвалж гэж ASA-ийн дотоод дэд сүлжээг нэрлэвэл алсын хандалтын сан хамгаалагдахгүй бөгөөд пакет нь тохирохгүй урсгалд платформын хандах хандлагаас хамаарч хасагдах эсвэл нээлттэй илгээгдэнэ. Загвар сангийн хаягуудыг хадгалах үед санг хамгаалагдсан урсгалд нэмээрэй.

Дараа нь NAT сангийн хаяг үлдэх эсэхийг шийднэ. Identity NAT үүнийг хадгалж, салбар 10.77.0.20-г эх сурвалж гэж харна. Орчуулга гэрээг өөрчилнө: салбар одоо урсгалыг орчуулсан хаяг руу буцааж, өөрийн бодлого үүнийг хүлээж авах ёстой. Дүрмийн дараалал нь crypto ACL орчуулгын өмнө эсвэл дараа тохирохыг шийддэг тул аль нь ялахыг таамаглахын оронд бодит урсгалыг уншаарай.

Нэг дамжин өнгөрөх тохиолдол ажиллахын тулд интернетийн ерөнхий PAT дүрмийг бүү устга. Зорилтот чөлөөлөлт эсвэл санаатай identity дүрэм нь гадагшлах бодлогын цоорхойноос илүү тайлбарлахад болон буцаахад хялбар.

Шифрлэлт нь зөвшөөрөл биш

Ажиллаж буй туннель нь хоёр тал түлхүүр, сонгогчдын талаар санал нийлснийг л батална. Энэ хэрэглэгч тэр үйлчилгээнд хүрч чадах эсэхийг энэ нь юу ч хэлэхгүй. Алсын хандалтын холболтод хавсаргасан VPN шүүлтүүр эсвэл группийн бодлого салбарын хүрэх газар, портыг зөвшөөрөх ёстой хэвээр, гадаад замын интерфейсийн ACL мөн хүчинтэй.

Хариултыг хоёр чиглэлд шалгаарай. Хөрш үйлчилгээ бүтэлгүйтэх ёстой үед амжилттай болсон холболт нь нэг амжилттай ping-ээс илүү мэдээлэлтэй, учир нь бодлого нээлттэй биш, сонгомол гэдгийг харуулна. Хориглох ёстой шалгалт амжилттай болвол буруу нь туннель биш, бодлого. Хоёр үр дүнг өөрчлөлтийн бүртгэлд хадгаарай, дараагийн хүн ямар зан төлөв зориуд байсныг мэдэх болно.

hairpin эсвэл хоёр дахь интерфейс

hairpin дамжуулалт загварыг жижиг байлгаж, нэг глобал тохиргооны зардал гаргана. Тусдаа интерфейс эсвэл өөрийн виртуал интерфейс бүхий чиглэлд суурилсан туннель нь дамжуулах замыг тусгаарлаж, интерфейс тус бүрийн бодлого өгдөг боловч хаяглалт, өөр нэг crypto map эсвэл профайлын зардалтай. Аль нь ч илүү зөв биш; тэд өөр өөрөөр бүтэлгүйтдэг.

Чиглэлд суурилсан загварууд нь өөр зохион байгуулалт, ижил тохиргоон дээрх чекбокс биш. Хэрэв та тийм загвар руу шилжвэл дээрх бодлогод суурилсан crypto ACL-ийн хэлэлцүүлэг хамаарахгүй болж, чиглүүлэлтийн хүснэгт сонголтын ажлыг эхэлнэ.

Бодит клиентээс шалгаарай

ASA-аас эхэлсэн шалгалт нь өөр эх сурвалжийн хаягтай бөгөөд сангаас салбар хүртэлх замыг туулахгүй. Таван элементтийг шалгахдаа packet-tracer ашиглаад, дараа нь бодит алсын клиентээс жинхэнэ холболт нээ, учир нь мөрдөгч нь зөвхөн загварчилдаг бөгөөд клиентийн өөрийн чиглүүлэлт, бодлогыг орлохгүй.

Төлөвлөсөн өөрчлөлтийн дараа ажиллах ёстой үйлчилгээнд холбогдож, дараа нь татгалзах ёстой үйлчилгээнд, эцэст нь салбарын буцах замыг баталгаажуулаарай. Cisco-ийн VPN hairpin NAT жишээнүүд intra-interface зөвшөөрөл, NAT болон ACL-ийг харагдахуйц тусдаа байлгадаг бөгөөд энэ нь хуулбарлахад үнэ цэнэтэй сэтгэлгээний загвар юм.

Холбоотой нийтлэлүүд