It-tunnel maqsum ma jeħlisx host pubbliku mir-regoli NAT tal-ASA

Rotta split-include tiġbed host pubbliku fit-tunnel, fejn l-ASA trid tagħmel hairpin u tittraduċi s-sors. Aqbeż waħda miż-żewġ passi u l-fluss jaqa’.

It-tunnel maqsum normalment jiġi deskritt bħala mod kif iżżomm it-traffiku korporattiv fit-tunnel u l-bqija tal-internet barra mill-firewall. Iż-żewġ nofsijiet ta’ dik id-deskrizzjoni huma ħżiena bl-istess mod. It-tunnel maqsum huwa deċiżjoni ta’ rotta li jieħu l-klijent, u deċiżjoni ta’ rotta ma tgħid xejn dwar x’jiġri mill-pakkett wara li jasal fl-headend.

Servizz wieħed ta’ sieħeb fuq indirizz pubbliku, li jinsisti li jara l-indirizz tal-kwartieri ġenerali tiegħek, huwa biżżejjed biex jaqleb l-istorja.

Il-mit: it-tunnel maqsum ineħħi l-firewall mit-triq

It-twemmin huwa li kwalunkwe destinazzjoni barra l-firxiet privati tibqa’ fuq il-konnessjoni tal-internet lokali, għalhekk il-firewall qatt ma jaraha u qatt ma jeħtieġ regola għaliha. Dan jgħodd biss sakemm id-destinazzjoni ma tkunx fil-lista tat-tunnel. Fil-mument li operatur iżid host pubbliku mal-ACL split-include, il-klijent jibgħat dak it-traffiku fit-tunnel, u l-ASA trid tirrotjah, tiffiltrah u tittraduċih bħal kwalunkwe fluss ieħor deċifrat. Fuq il-klijent ma nbidel xejn ħlief il-lista tad-destinazzjonijiet.

Il-klijent ma sarx router. Segwa l-politika li tajtu.

X’jagħmel tassew rotta split-include

F’konfigurazzjoni ta’ aċċess mill-bogħod Cisco ASA, il-politika tal-grupp iġġorr split-tunnel-policy tunnelspecified u split-tunnel-network-list li jsemmi ACL standard. Kull linja permit f’dak l-ACL hija destinazzjoni li l-klijent għandu jibgħat fit-tunnel, u kull ħaġa oħra tkompli tuża r-rotta default lokali.

Iż-żieda ta’ host wieħed hija linja waħda, u dak huwa l-uniku parti tal-bidla li l-klijent jista’ jara: access-list RA-SPLIT standard permit host 203.0.113.20.

Erġa’ qabbad il-klijent wara. Il-politika tiġi skambjata waqt il-konnessjoni, għalhekk sessjoni stabbilita żżomm il-lista l-antika u tagħmel il-bidla tidher li ma għamlet xejn.

Il-pakkett jasal u joħroġ mill-istess interface

Issa segwi l-fluss wara d-deċifrar. Il-pakkett daħal mill-interface ta’ barra permezz tat-tunnel VPN, id-destinazzjoni tiegħu hija indirizz pubbliku, u t-tabella tar-rotot tibgħatu lura mill-istess interface ta’ barra lejn l-internet. It-traffiku li jidħol u joħroġ minn interface waħda jintrema sakemm l-ASA ma tkunx permessa, u dan huwa dak li jagħmel same-security-traffic permit intra-interface. Mingħajru l-konnessjoni tfalli b’mod li jidher problema ta’ rotot u mhuwiex.

Dik is-setting hija globali. Tippermetti hairpinning għal kull fluss li jeħtieġha, mhux biss għal dan il-host tas-sieħeb, għalhekk tappartjeni għal bidla riveduta u mhux għal test mgħaġġel.

Għalfejn PAT limitat għad-destinazzjoni mhuwiex fakultattiv

L-indirizz tas-sors fuq il-pakkett deċifrat għadu l-indirizz VPN tal-klijent, normalment minn pool bħal 10.77.0.0/24. Dak l-indirizz m’għandux rotta fl-internet pubbliku, għalhekk is-sieħeb jew qatt ma jwieġeb jew iwieġeb fix-xejn.

It-traduzzjoni tikkoreġi s-sors u tħalli d-destinazzjoni bla mittiefsa. Peress li l-oġġetti huma diġà definiti x’imkien ieħor, regola manwali limitata għal din id-destinazzjoni għandha din il-forma:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

Il-parti destination static hija importanti. Jekk tħalliha barra, ir-regola ssir traduzzjoni wiesgħa li tista’ taqbel ma’ ħafna aktar traffiku milli ma kien maħsub, u regola identity wiesgħa aktar kmieni fl-ordni tista’ tegħlibha għal kollox. Iċċekkja show nat detail u l-ordni tas-sezzjonijiet qabel ma tassumi li r-regola tiegħek hija dik li taqbel.

PAT tal-interface ifisser ukoll li s-sieħeb jara l-indirizz tal-interface tal-ASA, li jista’ jiġi tradott mill-ġdid aktar ’il fuq. Jekk il-kuntratt isemmi indirizz, ikkonfermah minn tarf sa tarf u mhux f’qabża waħda.

Ipprovah bid-destinazzjoni tat-test it-tajba

Uża l-host tas-sieħeb innifsu, mhux paġna what-is-my-ip ġenerika. Dik il-paġna kważi żgur li hija barra mil-lista split, għalhekk tirrapporta l-indirizz tal-internet lokali tiegħek u ma tgħid xejn dwar din it-triq. Iftaħ konnessjoni ġdida mas-servizz tas-sieħeb u staqsihom liema sors osservaw, jew ħaddem packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed u aqra l-istadji tan-NAT u tar-rotot linja b’linja. Traceroute mill-klijent huwa verifika aktar dgħajfa, għax juri t-triq li diġà ġrat u mhux il-politika li għażlitha.

Imbagħad iċċekkja x’ma għandux jinbidel. Sit web ordinarju għandu jkompli joħroġ mill-konnessjoni lokali, u riżorsa privata fil-lista tat-tunnel għandha tkompli tkun aċċessibbli. Bidla li ssewwi s-sieħeb u tkisser waħda minn dawn it-tnejn hija bug ieħor.

Il-verżjoni li taħdem ta’ dan id-disinn hija qasira: host wieħed fl-ACL split, permess hairpin, regola PAT waħda limitata għad-destinazzjoni. Kull ħaġa oħra fl-istorja hija l-mit.

Artikli relatati