ASA VPN hairpin: tiswir ta' żewġ tunnels minn interface waħda

It-traffiku ta' utent remot jista' joħroġ mill-istess interface tal-ASA li minnha daħal, iżda l-permess tal-hairpin, il-firxa tat-tunnel, in-NAT u l-ACLs huma erba' deċiżjonijiet separati.

Utent remot jgħaqqad mal-ASA, jitlob host wara fergħa, u l-ASA jibgħat dak it-talba 'l barra mill-istess interface li minnha daħal l-utent. Xejn minn dan ma jeħtieġ it-tieni port fiżiku. Li jeħtieġ huma erba' deċiżjonijiet indipendenti li n-nies għandhom tendenza jgħaqqdu f'waħda: permess biex isir hairpin, tunnel li jipproteġi l-indirizzi t-tajba, politika NAT li żżomm is-sors li wegħedt, u politika ta' aċċess li tawtorizza s-servizz.

Pakett wieħed, żewġ tunnels

Segwi l-fluss u l-ordni tal-operazzjonijiet ma jibqax misteruż. Il-pakett jasal ġewwa t-tunnel tal-aċċess remot, jiġi deċifrat u jsir pakett IP ordinarju b'sors mill-pool tal-klijenti. Imbagħad l-ASA jirrotah, iqabblu mal-crypto ACL minn sit għal sit, jerġa' jiċċifrah u jibagħtu mill-interface ta' barra lejn il-fergħa.

L-indirizzi hawn taħt huma illustrattivi, iżda l-forma hija importanti: is-sors huwa l-pool, mhux il-LAN interna tal-ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Minn dan joħorġu żewġ affarijiet. Il-klijent jeħtieġ rotta għall-prefiss tal-fergħa permezz tal-konnessjoni tal-aċċess remot tiegħu, li jfisser li s-split-tunnel jew il-lista tar-rotot mibgħuta trid tinkludiha. U l-fergħa trid tkun taf kif tirritorna t-traffiku lejn 10.77.0.20 jew lejn l-indirizz li d-disinn tan-NAT tiegħek issostitwixxa.

Il-permess tal-hairpin huwa globali

Il-kmand li n-nies jersqu lejh huwa same-security-traffic permit intra-interface. Dan jippermetti li t-traffiku jidħol u joħroġ mill-istess interface, li huwa eżattament dak li jeħtieġ dan il-perkors. Huwa wkoll setting globali: l-attivazzjoni tiegħu tibdel l-imġiba ta' flussi oħra li jiġri li jgħaddu mill-istess interface darbtejn.

Huwa għalhekk li jappartjeni għal rekord tal-bidliet u mhux għal sessjoni tad-debugging. Staqsi x'jgħodd ieħor fuq l-apparat jista' issa jieħu perkors mill-istess interface, u jekk xi ħaġa minnu għandhiex tagħmel hekk. Fuq tarf imħabba bi netwerks tal-mistednin jew tunels ta' sħab li jikkoinċidu, it-tweġiba mhix awtomatikament le. Ikteb ir-raġuni ħdejn is-setting, għax l-inġinier li jmiss se jsib il-kmand u mhux il-konversazzjoni.

Il-firxa tal-protezzjoni u n-NAT huma separati

It-tunnel minn sit għal sit jipproteġi dak li jgħażel il-crypto ACL tiegħu. Jekk dak l-ACL isemmi s-subnet interna tal-ASA bħala sors, il-pool tal-aċċess remot mhuwiex protett u l-pakett jew jiġi miċħud jew jintbagħat fil-miftuħ, skont l-imġiba tal-pjattaforma għal traffiku li ma jaqbilx. Żid il-pool mal-fluss protett meta d-disinn iżomm l-indirizzi tal-pool.

Imbagħad in-NAT jiddeċiedi jekk l-indirizz tal-pool jibqax. L-Identity NAT iżommu, u l-fergħa tara 10.77.0.20 bħala sors. It-traduzzjoni tbiddel il-kuntratt: il-fergħa issa tirritorna t-traffiku lejn l-indirizz tradott, u l-politika tagħha stess trid taċċettah. L-ordni tar-regoli tiddeċiedi jekk il-crypto ACL jaqbilx qabel jew wara t-traduzzjoni, għalhekk aqra l-fluss effettiv minflok tassumi liema jirbaħ.

Tħassarx ir-regoli ġenerali tal-PAT tal-internet biex jaħdem każ wieħed ta' tranżitu. Eżenzjoni mmirata jew regola identity maħsuba huma aktar faċli biex jiġu spjegati u mreġġgħa lura milli toqob fil-politika ħierġa.

Il-kriptaġġ mhuwiex awtorizzazzjoni

Tunnel li jaħdem biss jipprova li żewġ naħat jaqblu dwar ċwievet u seletturi. Ma jgħid xejn dwar jekk dan l-utent jistax jilħaq dak is-servizz. Il-filtru VPN jew il-politika tal-grupp imqabbda mal-konnessjoni tal-aċċess remot għadhom iridu jippermettu d-destinazzjoni u l-port tal-fergħa, u l-ACL tal-interface fil-perkors ta' barra għadu japplika.

Ittestja t-tweġiba fiż-żewġ direzzjonijiet. Konnessjoni li tirnexxi filwaqt li servizz ġar għandu jonqos hija aktar informattiva minn ping wieħed li jirnexxi, għax turi li l-politika hija selettiva u mhux miftuħa għal kollox. Jekk it-test li għandu jiġi miċħud jirnexxi, it-tunnel mhuwiex il-ħati; il-politika hija. Żomm iż-żewġ riżultati fir-rekord tal-bidliet biex il-persuna li jmiss tkun taf liema imġiba kienet maħsuba.

Hairpin jew it-tieni interface

It-tranżitu tal-hairpin iżomm id-disinn żgħir u jiswa setting globali wieħed. Interface separata, jew tunnel ibbażat fuq ir-rotot bl-interface virtwali tiegħu stess, tiżola l-perkors tat-tranżitu u tagħtik politika għal kull interface, bil-prezz tal-indirizzar u crypto map jew profil ieħor. Lanqas waħda mhija aktar korretta; jonqsu b'mod differenti.

Id-disinni bbażati fuq ir-rotot huma arranġament differenti, mhux kaxxa tal-ikklerkjar fl-istess konfigurazzjoni. Jekk tmur għal wieħed minnhom, id-diskussjoni hawn fuq dwar il-crypto ACL ibbażat fuq il-politika tieqaf tapplika u t-tabella tar-rotot tibda tagħmel ix-xogħol tal-għażla.

Ivverifika mill-klijent veru

Probe mibdi mill-ASA għandu indirizz tas-sors differenti u mhux se jgħaddi mill-perkors mill-pool għall-fergħa. Uża packet-tracer biex tiċċekkja l-ħames-tuple, imbagħad iftaħ konnessjoni vera mill-klijent remot attwali, għax it-tracer jissimula u ma jissostitwixxix ir-rotot u l-politika tal-klijent stess.

Wara bidla ppjanata, qabbad ma' servizz li għandu jaħdem, imbagħad ma' wieħed li għandu jiġi miċħud, u mbagħad ikkonferma r-rotta tar-ritorn tal-fergħa. L-eżempji ta' NAT hairpin VPN ta' Cisco iżommu l-permess intra-interface, in-NAT u l-ACLs viżibbilment separati, u dak huwa l-mudell mentali li jistħoqqlu jiġi kkupjat.

Artikli relatati