ASA hairpin: ħruġ lejn l-internet jew sieq VPN bejn is-siti?

Il-pool tal-klijenti jista’ joħroġ lejn l-internet jew f’VPN tas-sit. Iddeċiedi liema sieq għandek bżonn qabel tikteb NAT, imbagħad iċċekkja r-rotta, is-selettur u l-mogħdija tar-risposta.

Żewġ utenti tal-aċċess mill-bogħod wara l-istess ASA jistgħu jibagħtu traffiku mill-istess interface ta’ barra u jirċievu trattament kompletament differenti. Wieħed sejjer lejn sit web pubbliku, għalhekk il-pakkett jeħtieġ traduzzjoni tas-sors u rotta tal-internet. L-ieħor sejjer lejn server wara tunnel bejn is-siti li wkoll jintemm fuq dik l-interface, għalhekk il-pakkett jeħtieġ identità, selettur tat-tunnel li jaqbel u mogħdija lura lejn il-pool tal-klijenti. Il-permess għall-istess interface huwa prekundizzjoni għat-tnejn u soluzzjoni għal ħadd.

Żewġ saqajn, interface waħda

Iddeċiedi liema sieq qed tibni qabel ma tikteb regola NAT, għax ir-regoli mhumiex interoperabbli. Sieq A hija klijent lejn l-internet: l-indirizz tal-pool jidħol, l-indirizz pubbliku tradott joħroġ, lura mill-istess interface. Sieq B hija klijent lejn prefiss privat fuq in-naħa l-oħra ta’ peer IPsec ieħor: l-indirizz tal-pool jinżamm, jerġa’ jiġi encrypted u jitwassal lil peer li jrid ikun jaf kif iwieġeb lill-pool.

Dak li t-tnejn jeħtieġu l-ewwel huwa l-permess għall-istess interface. Mingħajru l-ASA jirrifjuta li jgħaddi pakkett mill-interface li wasal fiha, u l-falliment jidher bħala problema ta’ routing aktar milli ta’ politika:

same-security-traffic permit intra-interface

Dik il-linja waħda tawtorizza arranġament ta’ trażmissjoni, kif jiddeskrivi r-referenza NAT tal-ASA għal mogħdijiet mill-istess interface. Ma żżidx rotta tal-klijent, ma tawtorizzax riżorsa, ma tittraduċix indirizz u ma tinnegozjax selettur IPsec, għalhekk stenna li żżid tlieta jew erba’ affarijiet oħra warajha u taqrax l-aċċettazzjoni tagħha bħala progress.

Sieq A: il-klijent irid l-internet

Għal ħruġ lejn l-internet l-indirizz tal-pool irid jieqaf ikun privat qabel il-pakkett iħalli l-apparat. Fi disinn PAT ordinarju r-regola tittraduċi l-pool fl-indirizz tal-interface ta’ barra, u l-istat tar-ritorn jerġa’ jistabbilixxi l-fluss lejn il-klijent:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Imbagħad ikkonferma li l-klijent tassew talab lill-ASA biex iġġorr dak it-traffiku. Esklużjoni mit-tunnel maqsum tibgħat id-destinazzjoni pubblika fuq il-konnessjoni tal-phone stess, li qatt ma tasal għand l-ASA, u l-ebda regola NAT ma ssewwi pakkett li qatt ma ntbagħat. Qabbel il-lista tat-tunnel maqsum tal-politika tal-grupp mad-destinazzjoni li qed tittestja.

Il-bqija tas-sieq hija ordinarja: rotta default jew speċifika li tista’ tintuża mill-interface ta’ barra, politika ta’ aċċess li tippermetti l-fluss, u DNS trattat skont il-politika tar-resolver li għażilt. Żid route-lookup hawn għall-istess raġuni bħal hawn taħt, għax l-interface tad-dħul u tal-ħruġ huma identiċi.

Sieq B: il-klijent irid sit privat

Din is-sieq tfalli f’aktar postijiet, għalhekk iktebha fl-ordni. L-ewwel ir-rotta tal-klijent: il-prefiss tad-destinazzjoni irid ikun fil-lista tat-tunnel maqsum, inkella l-klijent ma jqegħdux fit-tunnel. It-tieni s-selettur tat-tunnel: l-ACL kriptografika bejn is-siti trid tkopri l-indirizz tal-pool sal-prefiss remot, mhux biss il-LAN lokali sal-prefiss remot. It-tielet l-identità, biex l-indirizz tal-pool ma jiġix tradott fil-PAT tal-internet fit-triq.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

In-naħa remota hija l-parti li n-nies jinsuna jittestjaw. Il-peer jeħtieġ rotta lura lejn il-pool u selettur li jinkludiha, u il-politika tiegħu stess trid tippermetti l-indirizzi tas-sors li se jara. Jekk is-sit jintuża permezz ta’ veduta tradotta minflok, dak huwa disinn validu, imma mbagħad iż-żewġ peers, iż-żewġ seletturi u ż-żewġ tabelli tar-routing iridu jaqblu fuq l-indirizzi tradotti.

Iċċekkja wkoll l-ordni tar-regoli. Regola PAT wiesgħa fuq ir-regola tal-identità tittraduċi l-iskambju privat qabel ma r-regola tal-identità tiġi evalwata, u s-sintomu huwa tunnel tas-sit mingħajr SA li taqbel, mhux żball NAT.

It-test li jgħidlek liema sieq bniet

Uża l-valutazzjoni tal-mogħdija tal-ASA stess minflok ma taqra l-konfigurazzjoni u tittama. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed juri d-deċiżjoni NAT, ir-rotta u r-riżultat tal-ACL għal fluss wieħed; irrepetih b’destinazzjoni privata. Jekk il-fażi NAT terġa’ tikteb fluss minn privat għal privat, bnejt sieq A għal pakkett li kien jeħtieġ sieq B.

Żewġ kmandi oħra jagħlqu l-vojt. show nat detail jistampa l-ordni tar-regoli li segwa packet-tracer, u show crypto ipsec sa juri jekk jeżistix selettur għall-par li qed tistenna. SA nieqes huwa kwistjoni ta’ konfigurazzjoni tas-selettur jew tal-peer, mhux xi ħaġa li r-regola NAT tista’ ssewwi.

Ivverifika kull sieq bit-traffiku li taqdi

Aċċetta sieq A b’talba pubblika ordinarja mill-klijent, u aċċetta sieq B b’talba lil riżorsa privata li tassew teżisti. Imbagħad irrepeti kull waħda b’riżorsa miċħuda, għax “permess” u “approvat mill-politika tal-aċċess” mhumiex l-istess prova, u ping li joriġina miċ-ċentru ma jeżerċitax waħda miż-żewġ mogħdijiet tal-klijent.

Żomm iż-żewġ rekords tat-test separati fil-biljett: indirizz tas-sors, destinazzjoni, ir-regola NAT li qabblet u r-riżultat. Meta r-rapport li jmiss jgħid “il-VPN imkisser”, dak il-par jgħidlek fi żmien minuta liema sieq regrediet, u t-tweġiba normalment hija rotta jew selettur, mhux il-linja tal-istess interface li kulħadd jissuspetta l-ewwel.

Artikli relatati