ASA VPN hairpin: menghalakan dua terowong melalui satu antara muka

Pengguna jauh bersambung ke ASA, meminta hos di belakang cawangan, dan ASA menghantar permintaan itu keluar melalui antara muka yang sama tempat pengguna masuk. Tiada apa-apa tentang itu memerlukan port fizikal kedua. Yang diperlukannya ialah empat keputusan bebas yang orang cenderung gabungkan menjadi satu: kebenaran membuat hairpin, terowong yang melindungi alamat yang betul, dasar NAT yang mengekalkan sumber yang anda janjikan, dan dasar akses yang memberi kuasa kepada perkhidmatan itu.

Satu paket, dua terowong

Ikuti alirannya dan susunan operasi tidak lagi misteri. Paket tiba di dalam terowong akses jauh, dinyahsulit dan menjadi paket IP biasa yang bersumber daripada kumpulan klien. ASA kemudian menghalakannya, memadankannya dengan crypto ACL tapak-ke-tapak, menyulitkannya semula dan menghantarnya keluar melalui antara muka luar menuju cawangan.

Alamat di bawah hanyalah ilustrasi, tetapi bentuknya penting: sumbernya ialah kumpulan, bukan LAN dalaman ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Dua perkara menyusul. Klien memerlukan laluan untuk awalan cawangan melalui sambungan akses jauhnya, bermakna split-tunnel atau senarai laluan yang ditolak mesti memasukkannya. Dan cawangan mesti tahu cara memulangkan trafik ke 10.77.0.20 atau ke alamat yang telah digantikan oleh reka bentuk NAT anda.

Kebenaran hairpin adalah global

Perintah yang sering dicapai orang ialah same-security-traffic permit intra-interface. Ia membenarkan trafik masuk dan keluar melalui antara muka yang sama, iaitu tepat apa yang diperlukan oleh laluan ini. Ia juga tetapan global: mendayakannya mengubah tingkah laku aliran lain yang kebetulan melintasi antara muka yang sama dua kali.

Sebab itulah ia tergolong dalam rekod perubahan dan bukan sesi nyahpepijat. Tanyakan apa lagi pada peranti itu kini boleh mengambil laluan antara muka yang sama, dan sama ada apa-apa daripadanya patut. Di tepi sibuk dengan rangkaian tetamu atau terowong rakan kongsi yang bertindih, jawapannya bukan automatik tidak. Tulis sebabnya di sebelah tetapan, kerana jurutera seterusnya akan menemui perintah itu dan bukan perbualan itu.

Skop perlindungan dan NAT adalah berasingan

Terowong tapak-ke-tapak melindungi apa sahaja yang dipilih oleh crypto ACL-nya. Jika ACL itu menamakan subnet dalaman ASA sebagai sumber, kumpulan akses jauh tidak dilindungi dan paket akan sama ada digugurkan atau dihantar dalam keadaan terbuka, bergantung pada tingkah laku platform terhadap trafik yang tidak sepadan. Tambahkan kumpulan itu ke aliran terlindung apabila reka bentuk mengekalkan alamat kumpulan.

NAT kemudian memutuskan sama ada alamat kumpulan itu bertahan. Identity NAT mengekalkannya, dan cawangan melihat 10.77.0.20 sebagai sumber. Terjemahan mengubah kontrak: cawangan kini memulangkan trafik ke alamat terjemahan, dan dasarnya sendiri mesti menerimanya. Susunan peraturan menentukan sama ada crypto ACL sepadan sebelum atau selepas terjemahan, jadi baca aliran berkesan dan bukan menganggap mana yang menang.

Jangan padam peraturan PAT internet umum hanya supaya satu kes transit berfungsi. Pengecualian bersasar atau peraturan identity yang disengajakan lebih mudah dijelaskan dan diterbalikkan daripada lubang dalam dasar keluar.

Penyulitan bukan kebenaran

Terowong yang berfungsi hanya membuktikan bahawa dua rakan sejawat bersetuju tentang kunci dan pemilih. Ia tidak mengatakan apa-apa tentang sama ada pengguna ini boleh mencapai perkhidmatan itu. Penapis VPN atau dasar kumpulan yang dilampirkan pada sambungan akses jauh masih mesti membenarkan destinasi dan port cawangan, dan ACL antara muka pada laluan luar masih terpakai.

Uji jawapan dalam kedua-dua arah. Sambungan yang berjaya sedangkan perkhidmatan jiran sepatutnya gagal lebih bermaklumat daripada satu ping yang berjaya, kerana ia menunjukkan dasar itu terpilih dan bukan terbuka luas. Jika ujian yang sepatutnya ditolak berjaya, terowong bukan punca; dasarlah punca. Simpan kedua-dua hasil dalam rekod perubahan supaya orang seterusnya tahu tingkah laku mana yang dimaksudkan.

Hairpin atau antara muka kedua

Transit hairpin mengekalkan reka bentuk kecil dan berharga satu tetapan global. Antara muka berasingan, atau terowong berasaskan laluan dengan antara muka mayanya sendiri, mengasingkan laluan transit dan memberi anda dasar setiap antara muka, dengan kos pengalamatan dan satu lagi crypto map atau profil. Tiada satu pun lebih betul; kedua-duanya gagal secara berbeza.

Reka bentuk berasaskan laluan ialah susunan berbeza, bukan kotak semak pada konfigurasi yang sama. Jika anda beralih kepadanya, perbincangan crypto ACL berasaskan dasar di atas tidak lagi terpakai dan jadual laluan mula melakukan kerja pemilihan.

Sahkan daripada klien sebenar

Probe yang dimulakan dari ASA mempunyai alamat sumber berbeza dan tidak akan melalui laluan kumpulan-ke-cawangan. Gunakan packet-tracer untuk memeriksa lima-tuple, kemudian buka sambungan sebenar daripada klien jauh yang sebenar, kerana penjejak hanya mensimulasikan dan tidak menggantikan penghalakan dan dasar klien itu sendiri.

Selepas perubahan terancang, sambung ke perkhidmatan yang sepatutnya berfungsi, kemudian ke perkhidmatan yang sepatutnya ditolak, dan kemudian sahkan laluan balik cawangan. contoh NAT hairpin VPN daripada Cisco mengekalkan kebenaran intra-interface, NAT dan ACL kelihatan berasingan, dan itulah model mental yang wajar disalin.