Identity NAT ASA berbanding pengecualian NAT IOS untuk trafik VPN

Satu cawangan menjalankan PAT internet dan VPN tapak-ke-tapak pada gateway Cisco yang sama, dan VPN berhenti berfungsi sebaik sahaja NAT ditambah. Alamat di dalam terowong tidak lagi sepadan dengan apa yang dilindungi crypto ACL, atau rakan sebaya melihat alamat diterjemah yang tiada laluan. Cisco menyelesaikannya di dua tempat: ASA memilih peraturan NAT yang memetakan alamat kepada dirinya sendiri, manakala IOS menyimpan aliran di luar peraturan terjemahan melalui deny dalam ACL. Kedua-duanya mengekalkan alamat asal, dan tiada satu pun merupakan pintasan pemprosesan NAT.

Rekod aliran sebelum memilih peraturan

Mulakan dengan menulis aliran yang anda mahu lindungi: sumber LAN, destinasi jauh dan pasangan alamat tepat yang dilindungi dasar IPsec. Lakukan sebelum menyunting peraturan, kerana tupel ini menunjukkan pengelas atau peraturan NAT mana yang sepatutnya sepadan.

Kemudian cari peraturan yang benar-benar sepadan, bukan yang anda maksudkan. Pada kedua-dua platform NAT dinilai mengikut urutan, dan peraturan terdahulu boleh menang sebelum pengecualian anda diperiksa. Pengecualian yang kelihatan betul tetapi tewas kepada peraturan lain tidak pernah menyerahkan paket yang dijangka kepada dasar perlindungan. Gejalanya sama seperti pengecualian yang tiada, sebab itu urutan peraturan mesti dibaca sebelum konfigurasi diubah.

Identity NAT ASA ialah peraturan, bukan pintasan

Pada ASA, identity NAT ialah peraturan NAT yang alamat terjemahannya sama dengan alamat asal. Ia dipilih seperti peraturan lain dan masih memasang entri terjemahan, jadi paket tidak melangkau pemprosesan NAT. Yang berubah ialah alamat pada rangkaian kekal sama, dan itulah yang diperlukan dasar IPsec.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Antara muka peraturan dan tetapan route-lookup-nya mesti sepadan dengan reka bentuk penghantaran. Peraturan yang memetakan alamat dengan betul tetapi digunakan pada pasangan antara muka yang salah tidak akan dipilih untuk aliran anda. Route-lookup menentukan sama ada paket terjemahan dihalakan atau destinasi asal digunakan, dan itu menentukan sama ada trafik balasan kembali melalui terowong.

Akses pengurusan ke ASA sendiri ialah kes berasingan. Jika anda menggunakan identity NAT untuk trafik pengurusan, keperluan route-lookup khusus keluaran terpakai, dan pengecualian luas yang disalin daripada contoh VPN tidak akan membaiki SSH.

Deny dalam ACL NAT IOS bermaksud tidak dipilih di sini

Pada IOS, NAT internet dipacu oleh senarai sumber, dan ACL itu ialah pengelas, bukan penapis. Baris permit memilih trafik untuk terjemahan; baris deny bermaksud paket tidak dipilih di sini. Deny itu bukan arahan membuang paket seperti deny dalam ACL antara muka.

Tidak dipilih di sini juga lebih sempit daripada tidak pernah diterjemah di mana-mana. Peraturan NAT lain, antara muka lain atau route-map masih boleh menterjemah aliran, jadi seluruh jadual NAT mesti dibaca. Paket juga masih memerlukan laluan, crypto ACL yang sepadan dan kebenaran pada sempadan kawalan akses sebenar.

Susunan IOS minimum meletakkan deny di atas permit dalam senarai yang sama dan mengarahkan peraturan overload ke senarai itu. Kemudian crypto ACL melindungi pasangan yang sama dengan yang dikecualikan deny daripada terjemahan.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Satu soalan yang boleh diuji untuk kedua-dua model

Kedua-dua model menjawab soalan yang sama: peraturan mana yang sepadan dengan aliran ini, dan alamat mana yang meninggalkan antara muka? Tangkap pada antara muka luar dan bandingkan alamat sumber sebelum dan selepas gateway. Kemudian periksa pandangan rakan sebaya tentang terowong, kerana SA boleh aktif sementara aliran yang dilindungi diterjemah di tempat lain.

Pada ASA tunjukkan nat detail dan jadual terjemahan; pada IOS tunjukkan ip nat translations dan pembilang ACL yang berkaitan. Peraturan yang tidak pernah bertambah tidak pernah dipilih, dan itu menunjuk kepada urutan, antara muka atau arah, bukan konfigurasi crypto.

Di mana konfigurasi biasanya salah

Kegagalan biasa bersifat mekanikal. Deny berada di bawah permit dan tidak pernah sepadan. Pengelas digunakan pada arah yang salah, jadi aliran balasan diterjemah. Peraturan identity meliputi alamat yang betul tetapi pasangan antara muka yang salah. Crypto ACL melindungi subrangkaian yang tidak lagi sepadan dengan apa yang dibentangkan peraturan NAT.

Rekod pasangan alamat asal dan yang dibentangkan di sebelah pemilik peraturan, supaya jurutera seterusnya melihat mengapa pengelas menolak terjemahan manakala firewall membenarkan aplikasi. Simpan itu dalam tiket perubahan, bukan nota peribadi. Kemudian jalankan semula aliran selepas setiap perubahan NAT, kerana urutan peraturan ialah sebahagian daripada konfigurasi walaupun teks peraturan tidak berubah. Terowong yang naik bukan bukti alamat terselamat; hanya paket yang ditangkap dan pandangan rakan sebaya selepas dinyahkapsul.