Identity NAT tal-ASA kontra l-esklużjoni NAT tal-IOS għat-traffiku VPN

Fuq gateways Cisco, kemm identity NAT tal-ASA kif ukoll l-esklużjoni tal-klassifikatur NAT tal-IOS iżommu l-indirizzi VPN. Ir-regoli jvarjaw f'fejn tiġi mqabbla t-traduzzjoni.

Fergħa żżomm PAT tal-internet u VPN bejn is-siti fuq l-istess gateway Cisco, u l-VPN jieqaf jaħdem fil-mument li jiżdied NAT. L-indirizzi ġewwa t-tunnel ma jibqgħux jaqblu ma' dak li jipproteġi l-crypto ACL, jew il-pari jara indirizzi tradotti li m'għandux rotta għalihom. Cisco jissolva dan f'żewġ postijiet: l-ASA jagħżel regola NAT li timmappa indirizz fuqu nnifsu, filwaqt li l-IOS iżomm il-fluss barra minn regola ta' traduzzjoni permezz ta' deny fl-ACL. It-tnejn iżommu l-indirizzi oriġinali, u ħadd minnhom mhu evażjoni tal-ipproċessar NAT.

Irreġistra l-fluss qabel ma tagħżel regola

Ibda billi tikteb il-fluss li qed tistenna li tipproteġi: is-sors tal-LAN, id-destinazzjoni remota u l-par eżatt ta' indirizzi li tipproteġi l-politika IPsec. Agħmel dan qabel ma tedita regola, għax it-tuple turi liema klassifikatur jew regola NAT kellha taqbel.

Imbagħad sib ir-regola li tassew qabblet, mhux dik li kellek f'moħħok. Fuq iż-żewġ pjattaformi n-NAT jiġi evalwat f'ordni, u regola preċedenti tista' tirbaħ qabel ma tiġi kkunsidrata l-esklużjoni tiegħek. Esklużjoni li tidher korretta iżda li titlef minn regola oħra qatt ma twassal il-pakkett mistenni lill-politika tal-protezzjoni. Is-sintomu huwa l-istess bħal esklużjoni nieqsa, għalhekk l-ordni tar-regoli trid tinqara qabel ma tinbidel il-konfigurazzjoni.

Identity NAT tal-ASA hija regola, mhux evażjoni

Fuq l-ASA, identity NAT hija regola NAT li l-indirizz tradott tagħha huwa ugwali għall-oriġinali. Hija magħżula bħal kull regola oħra u xorta tinstalla entrata ta' traduzzjoni, għalhekk il-pakkett ma jaqbiżx l-ipproċessar NAT. Li jinbidel huwa li l-indirizzi fuq il-wire jibqgħu l-istess, u dan huwa dak li teħtieġ il-politika IPsec.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

L-interfaces tar-regola u l-issettjar route-lookup tagħha jridu jaqblu mad-disinn tal-forwarding. Regola li timmappa l-indirizz b'mod korrett iżda li tiġi applikata fuq il-par ta' interfaces ħażin mhux se tintgħażel għall-fluss tiegħek. Route-lookup jiddeċiedi jekk il-pakkett tradott huwiex routed jew jintużax id-destinazzjoni oriġinali, u dan jiddeċiedi jekk it-traffiku tar-ritorn jiġix lura mit-tunnel.

L-aċċess amministrattiv għall-ASA nnifsu huwa każ separat. Jekk tuża identity NAT għat-traffiku amministrattiv, tapplika r-rekwiżit route-lookup speċifiku għall-verżjoni, u esklużjoni wiesgħa kkupjata minn eżempju VPN mhux se ssewwi SSH.

Deny fl-ACL NAT tal-IOS ifisser mhux magħżul hawn

Fuq l-IOS, in-NAT tal-internet huwa mmexxi minn lista tas-sors, u dak l-ACL huwa klassifikatur, mhux filtru. Linja permit tagħżel traffiku għat-traduzzjoni; linja deny tfisser li l-pakkett mhux magħżul hawn. Dak id-deny mhux ordni biex jintrema l-pakkett bħal deny f'ACL tal-interface.

Mhux magħżul hawn huwa wkoll idjaq minn qatt tradott imkien. Regola NAT oħra, interface ieħor jew route-map xorta jistgħu jittraduċu l-fluss, għalhekk it-tabella NAT kollha trid tinqara. Il-pakkett xorta jeħtieġ rotta, crypto ACL li taqbel u permess fil-fruntieri reali tal-kontroll tal-aċċess.

Arranġament IOS minimu jqiegħed id-deny fuq il-permit fl-istess lista u jindirizza r-regola overload lejn dik il-lista. Imbagħad il-crypto ACL jipproteġi l-istess par li d-deny jeskludi mit-traduzzjoni.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Mistoqsija waħda testabbli għaż-żewġ mudelli

Iż-żewġ mudelli jwieġbu l-istess mistoqsija: liema regola qabblet dan il-fluss, u liema indirizzi ħarġu mill-interface? Aqbad fuq l-interface ta' barra u qabbel l-indirizz tas-sors qabel u wara l-gateway. Imbagħad iċċekkja l-veduta tal-pari tat-tunnel, għax l-SA tista' tkun 'il fuq waqt li l-fluss protett jiġi tradott x'imkien ieħor.

Fuq l-ASA uru nat detail u t-tabella tat-traduzzjoni; fuq l-IOS uru ip nat translations u l-counters ACL li jaqblu. Regola li qatt ma tiżdied qatt ma ntgħażlet, u dan jindika l-ordni, l-interface jew id-direzzjoni aktar milli l-konfigurazzjoni crypto.

Fejn il-konfigurazzjoni normalment tmur ħażin

Il-fallimenti komuni huma mekkaniċi. Id-deny jinsab taħt il-permit u qatt ma jaqbel. Il-klassifikatur jiġi applikat fid-direzzjoni ħażina, għalhekk il-fluss tar-ritorn jiġi tradott. Ir-regola identity tkopri l-indirizzi t-tajba iżda l-par ta' interfaces ħażin. Il-crypto ACL jipproteġi subnetwork li m'għadux jaqbel ma' dak li tippreżenta r-regola NAT.

Irreġistra l-par ta' indirizzi oriġinali u ppreżentat ħdejn is-sid tar-regola, sabiex l-inġinier li jmiss jara għaliex klassifikatur jiċħad it-traduzzjoni filwaqt li l-firewall jippermetti l-applikazzjoni. Żomm dan fil-biljett tal-bidla, mhux f'nota personali. Imbagħad erġa' ġġenera l-fluss wara kull bidla NAT, għax l-ordni tar-regoli hija parti mill-konfigurazzjoni anke meta t-test tar-regola ma jinbidilx. Tunnel li jiġi 'l fuq mhuwiex prova li l-indirizzi baqgħu ħajjin; huma biss il-pakkett maqbud u l-veduta dekapżulata tal-pari.

Artikli relatati