ASA hairpin: keluar ke internet atau kaki VPN tapak-ke-tapak?

Dua pengguna akses jauh di belakang ASA yang sama boleh menghantar trafik keluar dari antara muka luar yang sama dan menerima layanan yang sama sekali berbeza. Seorang menuju laman web awam, jadi paket itu memerlukan terjemahan sumber dan laluan internet. Seorang lagi menuju pelayan di belakang terowong tapak-ke-tapak yang juga berakhir pada antara muka itu, jadi paket itu memerlukan identiti, pemilih terowong yang sepadan dan laluan balik ke kumpulan klien. Kebenaran antara muka yang sama ialah prasyarat untuk kedua-duanya dan penyelesaian untuk kedua-duanya bukan.

Dua kaki, satu antara muka

Tentukan kaki mana yang anda bina sebelum menaip peraturan NAT, kerana peraturannya tidak boleh ditukar ganti. Kaki A ialah klien ke internet: alamat kumpulan masuk, alamat awam terjemahan keluar, balik melalui antara muka yang sama. Kaki B ialah klien ke awalan peribadi di sebelah jauh rakan IPsec lain: alamat kumpulan dikekalkan, disulitkan semula dan dihantar kepada rakan yang mesti tahu cara menjawab kumpulan itu.

Apa yang kedua-duanya perlukan dahulu ialah kebenaran antara muka yang sama. Tanpanya ASA enggan menghantar paket keluar dari antara muka tempat ia tiba, dan kegagalan itu kelihatan seperti masalah penghalaan bukan masalah dasar:

same-security-traffic permit intra-interface

Baris tunggal itu membenarkan susunan penghantaran, seperti yang diterangkan oleh rujukan NAT ASA untuk laluan melalui antara muka yang sama. Ia tidak menambah laluan klien, tidak membenarkan sumber, tidak menterjemah alamat dan tidak berunding pemilih IPsec, jadi jangkakan untuk menambah tiga atau empat perkara lagi selepasnya dan jangan baca penerimaannya sebagai kemajuan.

Kaki A: klien mahukan internet

Untuk keluar ke internet alamat kumpulan mesti berhenti menjadi peribadi sebelum paket meninggalkan peranti. Dalam reka bentuk PAT biasa peraturan menterjemah kumpulan ke alamat antara muka luar, dan keadaan balik memulihkan aliran ke arah klien:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Kemudian sahkan klien benar-benar meminta ASA membawa trafik itu. Pengecualian terowong terpisah menghantar destinasi awam melalui sambungan telefon itu sendiri, yang tidak pernah sampai ke ASA, dan tiada peraturan NAT membaiki paket yang tidak pernah dihantar. Bandingkan senarai terowong terpisah dasar kumpulan dengan destinasi yang anda uji.

Selebihnya kaki itu biasa: laluan lalai atau khusus yang boleh digunakan keluar dari antara muka luar, dasar akses yang membenarkan aliran, dan DNS dikendalikan mengikut dasar penyelesai yang anda pilih. Tambah route-lookup di sini atas sebab yang sama seperti di bawah, kerana antara muka masuk dan keluar adalah serupa.

Kaki B: klien mahukan tapak peribadi

Kaki ini gagal di lebih banyak tempat, jadi tuliskan mengikut urutan. Pertama laluan klien: awalan destinasi mesti ada dalam senarai terowong terpisah, jika tidak klien tidak akan meletakkannya dalam terowong. Kedua pemilih terowong: ACL kripto tapak-ke-tapak mesti meliputi alamat kumpulan ke awalan jauh, bukan hanya LAN setempat ke awalan jauh. Ketiga identiti, supaya alamat kumpulan tidak diterjemah ke PAT internet semasa melalui.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Sebelah jauh ialah bahagian yang orang lupa uji. Rakan itu memerlukan laluan balik ke kumpulan dan pemilih yang memasukkannya, dan dasarnya sendiri mesti membenarkan alamat sumber yang akan dilihatnya. Jika tapak digunakan melalui paparan terjemahan sebaliknya, itu reka bentuk yang sah, tetapi ketika itu kedua-dua rakan, kedua-dua pemilih dan kedua-dua jadual penghalaan mesti bersetuju tentang alamat terjemahan itu.

Semak juga susunan peraturan. Peraturan PAT luas di atas peraturan identiti akan menterjemah pertukaran peribadi sebelum peraturan identiti dinilai, dan gejalanya ialah terowong tapak tanpa SA yang sepadan bukan ralat NAT.

Ujian yang memberitahu anda kaki mana yang anda bina

Gunakan penilaian laluan ASA sendiri daripada membaca konfigurasi dan berharap. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed menunjukkan keputusan NAT, laluan dan hasil ACL untuk satu aliran; ulangi dengan destinasi peribadi. Jika fasa NAT menulis semula aliran peribadi-ke-peribadi, anda membina kaki A untuk paket yang memerlukan kaki B.

Dua lagi arahan menutup jurang itu. show nat detail mencetak susunan peraturan yang diikuti packet-tracer, dan show crypto ipsec sa menunjukkan sama ada pemilih wujud untuk pasangan yang anda jangkakan. SA yang hilang ialah isu konfigurasi pemilih atau rakan, bukan sesuatu yang peraturan NAT boleh baiki.

Sahkan setiap kaki dengan trafik yang dilayaninya

Terima kaki A dengan permintaan awam biasa daripada klien, dan terima kaki B dengan permintaan ke sumber peribadi yang benar-benar wujud. Kemudian ulangi setiap satu dengan sumber yang ditolak, kerana “dibenarkan” dan “diluluskan oleh dasar akses” bukan bukti yang sama, dan ping yang berasal dari hab tidak melatih mana-mana laluan klien.

Simpan dua rekod ujian berasingan dalam tiket: alamat sumber, destinasi, peraturan NAT yang sepadan dan hasil. Apabila laporan seterusnya berkata “VPN rosak”, pasangan itu memberitahu anda dalam satu minit kaki mana yang merosot, dan jawapannya biasanya laluan atau pemilih, bukan baris antara muka yang sama yang semua orang syaki dahulu.