स्प्लिट टनेल सार्वजनिक होस्टला ASA च्या NAT नियमांमधून सूट देत नाही

split-include मार्ग सार्वजनिक होस्टला टनेलमध्ये ओढतो, जिथे ASA ला हेअरपिन करावे लागते आणि स्रोताचे भाषांतर करावे लागते। दोनपैकी कोणतेही पाऊल वगळले तर प्रवाह तुटतो।

स्प्लिट टनेलिंगचे वर्णन सहसा कॉर्पोरेट रहदारी टनेलच्या आत आणि उर्वरित इंटरनेट फायरवॉलच्या बाहेर ठेवण्याची पद्धत असे केले जाते। त्या वर्णनाच्या दोन्ही अर्ध्या भागा एकाच प्रकारे चुकीच्या आहेत। स्प्लिट टनेलिंग हा क्लायंट घेतो तो मार्ग निर्णय आहे, आणि मार्ग निर्णय पॅकेट headend पर्यंत पोहोचल्यानंतर काय होते याबद्दल काहीही सांगत नाही।

सार्वजनिक पत्त्यावरची एक भागीदार सेवा, जी तुमच्या मुख्यालयाचा पत्ता पाहण्याचा आग्रह धरते, ही कथा मोडण्यासाठी पुरेशी आहे।

दंतकथा: स्प्लिट टनेल फायरवॉल मार्गातून काढून टाकते

खाजगी श्रेण्यांबाहेरचे कोणतेही गंतव्य स्थानिक इंटरनेट कनेक्शनवरच राहते, त्यामुळे फायरवॉल ते कधीही पाहत नाही आणि त्यासाठी कधीही नियमाची गरज नसते, अशी श्रद्धा आहे। गंतव्य टनेल यादीत नसतानाच हे खरे ठरते। ऑपरेटरने सार्वजनिक होस्ट split-include ACL मध्ये जोडलेल्या क्षणी क्लायंट ती रहदारी टनेलमध्ये पाठवतो, आणि ASA ला ती इतर कोणत्याही डिक्रिप्ट झालेल्या प्रवाहासारखी मार्गस्थ, गाळून व भाषांतरित करावी लागते। क्लायंटवर गंतव्य यादीशिवाय काहीही बदलले नाही।

क्लायंट राउटर झाला नाही। त्याने तुम्ही दिलेल्या धोरणाचे पालन केले।

split-include मार्ग प्रत्यक्षात काय करतो

Cisco ASA रिमोट-प्रवेश संरचनेत गट धोरण split-tunnel-policy tunnelspecified आणि प्रमाणित ACL नाव देणारा split-tunnel-network-list बाळगते। त्या ACL मधील प्रत्येक permit ओळ हे क्लायंटने टनेलमध्ये पाठवावयाचे गंतव्य आहे, आणि बाकी सर्व स्थानिक डीफॉल्ट मार्ग वापरत राहते।

एक होस्ट जोडणे एकच ओळ आहे, आणि क्लायंटला दिसू शकणारा बदलाचा तोच एकमेव भाग आहे: access-list RA-SPLIT standard permit host 203.0.113.20।

त्यानंतर क्लायंट पुन्हा जोडा। धोरण जोडणीच्या वेळी देवाणघेवाण होते, त्यामुळे प्रस्थापित सत्र जुनी यादी ठेवते आणि बदलाने काहीच केले नाही असे दिसते।

पॅकेट त्याच इंटरफेसवर येते आणि जाते

आता डिक्रिप्शननंतरचा प्रवाह पाहा। पॅकेट VPN टनेलमधून बाह्य इंटरफेसवर आले, त्याचे गंतव्य सार्वजनिक पत्ता आहे, आणि मार्ग सारणी ते त्याच बाह्य इंटरफेसवरून पुन्हा इंटरनेटकडे पाठवते। एका इंटरफेसवर येऊन जाणारी रहदारी ASA ने परवानगी दिल्याशिवाय टाकून दिली जाते, आणि same-security-traffic permit intra-interface तेच करते। त्याशिवाय कनेक्शन मार्ग समस्येसारखे दिसणाऱ्या पण तसे नसलेल्या पद्धतीने अयशस्वी होते।

ती सेटिंग जागतिक आहे। ती गरज असलेल्या प्रत्येक प्रवाहासाठी हेअरपिनिंगला परवानगी देते, केवळ या भागीदार होस्टसाठी नाही, म्हणून ती झटपट चाचणीऐवजी पुनरावलोकित बदलात असावी।

गंतव्य-मर्यादित PAT का ऐच्छिक नाही

डिक्रिप्ट झालेल्या पॅकेटचा स्रोत पत्ता अजूनही क्लायंटचा VPN पत्ता आहे, सहसा 10.77.0.0/24 सारख्या पूलमधून। त्या पत्त्याला सार्वजनिक इंटरनेटवर मार्ग नाही, त्यामुळे भागीदार एकतर कधीही उत्तर देत नाही किंवा कुठेही उत्तर देत नाही।

भाषांतर स्रोत दुरुस्त करते आणि गंतव्य अस्पर्शित ठेवते। ऑब्जेक्ट आधीच दुसरीकडे परिभाषित असल्याने, या गंतव्यापर्यंत मर्यादित मॅन्युअल नियमाचे हे स्वरूप आहे:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

destination static भाग महत्त्वाचा आहे। तो वगळल्यास नियम हेतूपेक्षा कितीतरी अधिक रहदारीशी जुळू शकणारे विस्तृत भाषांतर बनतो, आणि क्रमात आधी असलेला विस्तृत identity नियम याला पूर्णपणे हरवू शकतो। तुमचा नियमच जुळतो असे गृहीत धरण्यापूर्वी show nat detail आणि विभागांचा क्रम तपासा।

इंटरफेस PAT चा अर्थ भागीदाराला ASA चा इंटरफेस पत्ता दिसतो, ज्याचे वरच्या बाजूला पुन्हा भाषांतर होऊ शकते। कराराने पत्ता नामनिर्देशित केल्यास तो एका हॉपवर नव्हे तर सुरुवातीपासून शेवटपर्यंत पुष्टी करा।

योग्य चाचणी गंतव्याने ते सिद्ध करा

सामान्य what-is-my-ip पृष्ठ नव्हे, तर भागीदार होस्टच वापरा। ते पृष्ठ जवळजवळ निश्चितपणे split यादीबाहेर आहे, त्यामुळे ते तुमचा स्थानिक इंटरनेट पत्ता नोंदवते आणि या मार्गाबद्दल काहीही सांगत नाही। भागीदार सेवेकडे नवीन कनेक्शन उघडा आणि त्यांनी कोणता स्रोत पाहिला ते विचारा, किंवा packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed चालवा आणि NAT व मार्ग टप्पे ओळीओळीने वाचा। क्लायंटवरून traceroute ही दुर्बळ तपासणी आहे, कारण ते आधीच घडलेला मार्ग दाखवते, तो निवडणारे धोरण नव्हे।

मग काय बदलू नये ते तपासा। सामान्य संकेतस्थळाने अजूनही स्थानिक कनेक्शनमधून बाहेर जावे, आणि टनेल यादीतील खाजगी संसाधन अजूनही पोहोचण्यायोग्य असावे। भागीदार दुरुस्त करून यापैकी एक तोडणारा बदल हा वेगळा दोष आहे।

या रचनेची कार्यरत आवृत्ती छोटी आहे: split ACL मध्ये एक होस्ट, हेअरपिन परवानगी, गंतव्य-मर्यादित एक PAT नियम। कथेतील बाकी सर्व दंतकथा आहे।

संबंधित लेख