Split туннель нийтийн хостые ASA-ийн NAT дүрмээс чөлөөлөхгүй

split-include маршрут нийтийн хостые туннель руу татаж, тэнд ASA hairpin хийж эх сурвалжийг орчуулах ёстой. Аль нэг алхмыг алгасвал урсгал тасарна.

Split туннель нь ихэвчлэн корпорацийн хөдөлгөөнийг туннель дотор, интернетийн бусад хэсгийг галт ханын гадна байлгах арга гэж тайлбарлагддаг. Энэ тайлбарын хоёр хагас нь ижил аргаар буруу. Split туннель бол клиентийн гаргасан маршрутын шийдвэр бөгөөд маршрутын шийдвэр нь пакет headend-д хүрсний дараа юу болохыг хэлэхгүй.

Нийтийн хаяг дээрх, таны төв оффисын хаягийг харахыг шаарддаг нэг түншийн үйлчилгээ энэ түүхийг нураахад хангалттай.

Домог: split туннель галт ханыг замаас гаргадаг

Хувийн мужаас гадуурх аливаа очих газар локал интернэт холболт дээр үлддэг, тиймээс галт хана түүнийг хэзээ ч хардаггүй, хэзээ ч дүрэм шаарддаггүй гэсэн итгэл. Энэ нь очих газар туннелийн жагсаалтад ороогүй үед л үнэн. Оператор нийтийн хостые split-include ACL-д нэмсэн тэр мөчид клиент тэр хөдөлгөөнийг туннель руу илгээж, ASA үүнийг бусад дешифрлэгдсэн урсгал шиг чиглүүлж, шүүж, орчуулах ёстой. Клиент дээр очих газрын жагсаалтаас өөр юу ч өөрчлөгдөөгүй.

Клиент чиглүүлэгч болоогүй. Таны өгсөн бодлогыг дагасан.

split-include маршрут үнэндээ юу хийдэг

Cisco ASA алсаас хандах тохиргоонд бүлгийн бодлого split-tunnel-policy tunnelspecified болон стандарт ACL нэрлэсэн split-tunnel-network-list-г агуулна. Тэр ACL-ийн permit мөр бүр нь клиент туннель руу илгээх ёстой очих газар бөгөөд бусад бүхэн локал өгөгдмөл маршрутыг үргэлжлүүлэн ашиглана.

Нэг хост нэмэх нь нэг мөр бөгөөд энэ нь клиентийн харж болох өөрчлөлтийн цорын ганц хэсэг: access-list RA-SPLIT standard permit host 203.0.113.20.

Үүний дараа клиентийг дахин холбоно уу. Бодлого холбогдох үед солигддог тул аль хэдийн үүссэн сесс хуучин жагсаалтыг хадгалж, өөрчлөлт юу ч хийгээгүй мэт харагдана.

Пакет ижил интерфейсээр орж гардаг

Одоо дешифрлэлтийн дараах урсгалыг ажиглаарай. Пакет VPN туннелээр гадаад интерфейсээр орж ирсэн, очих газар нь нийтийн хаяг бөгөөд маршрутын хүснэгт түүнийг мөн тэр гадаад интерфейсээр интернэт рүү буцааж илгээдэг. Нэг интерфейсээр орж гарч буй хөдөлгөөнийг ASA зөвшөөрөхгүй бол хаядаг бөгөөд яг үүнийг same-security-traffic permit intra-interface хийдэг. Үүнгүйгээр холболт нь маршрутын асуудал мэт харагдах боловч тийм биш байдлаар бүтэлгүйтдэг.

Энэ тохиргоо нь глобал юм. Энэ нь хэрэгтэй урсгал бүрт hairpinning зөвшөөрдөг, зөвхөн энэ түншийн хостод биш, тиймээс энэ нь хурдан туршилтад бус, хянагдсан өөрчлөлтөд хамаарна.

Яагаад очих газраар хязгаарлагдсан PAT заавал байх ёстой вэ

Дешифрлэгдсэн пакетийн эх хаяг нь одоо ч клиентийн VPN хаяг, ихэвчлэн 10.77.0.0/24 шиг пулаас. Тэр хаяг нийтийн интернэтэд маршрутгүй тул түнш нь хэзээ ч хариулахгүй эсвэл хаана ч хариулахгүй.

Орчуулга нь эхийг засч, очих газрыг хөндөхгүй үлдээнэ. Объектууд өөр газар тодорхойлогдсон тул энэ очих газраар хязгаарлагдсан гарын дүрэм ийм хэлбэртэй:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

destination static хэсэг чухал. Үүнийг орхивол дүрэм нь зориулалтаас хамаагүй илүү хөдөлгөөнд тохирох өргөн орчуулга болж, дараалалд эрт байгаа өргөн identity дүрэм үүнийг бүрэн дийлэх боломжтой. Өөрийн дүрэм тохирч байна гэж үзэхийн өмнө show nat detail болон хэсгүүдийн дарааллыг шалгаарай.

Интерфейсийн PAT нь түнш ASA-ийн интерфейсийн хаягийг хардаг гэсэн үг бөгөөд энэ нь дээшээ дахин орчуулагдаж болно. Гэрээ хаяг нэрлэсэн бол нэг алхамд бус, эхнээс эцэс хүртэл баталгаажуулаарай.

Зөв туршилтын очих газраар нотлоорой

Ерөнхий what-is-my-ip хуудсыг бус, түншийн хост өөрөө ашиглаарай. Тэр хуудас бараг л split жагсаалтаас гадуур байдаг тул локал интернэт хаягийг тань мэдээлэх бөгөөд энэ замын талаар юу ч хэлэхгүй. Түншийн үйлчилгээнд шинэ холболт нээж, тэд ямар эх харсныг асуух, эсвэл packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed ажиллуулж NAT болон маршрутын үе шатуудыг мөр мөрөөр уншина уу. Клиентээс traceroute нь сул шалгалт, учир нь аль хэдийн болсон замыг харуулдаг, түүнийг сонгосон бодлогыг биш.

Дараа нь юу өөрчлөгдөх ёсгүйг шалгаарай. Энгийн вэбсайт локал холболтоос гарсаар байх ёстой, туннелийн жагсаалт дахь хувийн нөөц хүртээмжтэй хэвээр байх ёстой. Түншийг засаж, эдгээрийн аль нэгийг эвдэх өөрчлөлт нь өөр алдаа.

Энэ загварын ажилладаг хувилбар богино: split ACL-д нэг хост, hairpin зөвшөөрөл, очих газраар хязгаарлагдсан нэг PAT дүрэм. Түүхэн дэх бусад бүхэн домог.

Холбоотой нийтлэлүүд