स्प्लिट टनेलले सार्वजनिक होस्टलाई ASA का NAT नियमबाट छुट दिँदैन

split-include मार्गले सार्वजनिक होस्टलाई टनेलभित्र तान्छ, जहाँ ASA ले हेयरपिन गर्न र स्रोत अनुवाद गर्नुपर्छ। दुईमध्ये कुनै पनि चरण छोड्नुभयो भने प्रवाह रोकिन्छ।

स्प्लिट टनेलिङलाई सामान्यतया कर्पोरेट ट्राफिक टनेलभित्र र बाँकी इन्टरनेट फायरवालबाहिर राख्ने तरिका भनेर वर्णन गरिन्छ। त्यो वर्णनका दुवै आधा भाग एउटै तरिकाले गलत छन्। स्प्लिट टनेलिङ क्लाइन्टले लिने मार्ग निर्णय हो, र मार्ग निर्णयले प्याकेट headend मा पुगेपछि के हुन्छ भन्नेबारे केही भन्दैन।

सार्वजनिक ठेगानामा रहेको एउटै साझेदार सेवा, जसले तपाईंको प्रधान कार्यालयको ठेगाना देख्नुपर्ने अडान राख्छ, यो कथा भत्काउन पर्याप्त छ।

मिथक: स्प्लिट टनेलले फायरवाललाई बाटोबाट हटाउँछ

निजी दायराबाहिरको कुनै पनि गन्तव्य स्थानीय इन्टरनेट जडानमै रहन्छ, त्यसैले फायरवालले त्यसलाई कहिल्यै देख्दैन र त्यसका लागि कहिल्यै नियम चाहिँदैन भन्ने विश्वास छ। गन्तव्य टनेल सूचीमा नभएसम्म मात्र यो सत्य हुन्छ। अपरेटरले सार्वजनिक होस्टलाई split-include ACL मा थप्ने क्षणमा क्लाइन्टले त्यो ट्राफिक टनेलभित्र पठाउँछ, र ASA ले त्यसलाई अन्य कुनै पनि डिक्रिप्ट भएको प्रवाहझैँ मार्ग, फिल्टर र अनुवाद गर्नुपर्छ। क्लाइन्टमा गन्तव्य सूचीबाहेक केही बदलिएको छैन।

क्लाइन्ट राउटर बनेन। उसले तपाईंले दिनुभएको नीति पालना गर्यो।

split-include मार्गले वास्तवमा के गर्छ

Cisco ASA रिमोट-पहुँच सेटअपमा समूह नीतिले split-tunnel-policy tunnelspecified र मानक ACL नाम दिने split-tunnel-network-list बोक्छ। त्यो ACL को प्रत्येक permit लाइन क्लाइन्टले टनेलमा पठाउनुपर्ने गन्तव्य हो, र बाँकी सबै स्थानीय पूर्वनिर्धारित मार्ग प्रयोग गरिरहन्छ।

एउटा होस्ट थप्नु एकै लाइन हो, र क्लाइन्टले देख्न सक्ने परिवर्तनको त्यही एउटै भाग हो: access-list RA-SPLIT standard permit host 203.0.113.20।

त्यसपछि क्लाइन्ट पुनः जोड्नुहोस्। नीति जडानको समयमा साटिन्छ, त्यसैले स्थापित सत्रले पुरानो सूची राख्छ र परिवर्तनले केही नगरेजस्तो देखिन्छ।

प्याकेट एउटै इन्टरफेसमा आउँछ र जान्छ

अब डिक्रिप्शनपछिको प्रवाह ट्रेस गर्नुहोस्। प्याकेट VPN टनेलबाट बाहिरी इन्टरफेसमा आयो, त्यसको गन्तव्य सार्वजनिक ठेगाना हो, र मार्ग तालिकाले त्यसलाई त्यही बाहिरी इन्टरफेसबाट फेरि इन्टरनेटतिर पठाउँछ। एउटा इन्टरफेसमा आउने र जाने ट्राफिक ASA ले अनुमति नदिएसम्म खारेज गरिन्छ, र same-security-traffic permit intra-interface ले त्यही गर्छ। त्यो बिना जडान मार्ग समस्याजस्तो देखिने तर नभएको तरिकाले असफल हुन्छ।

त्यो सेटिङ विश्वव्यापी छ। यसले आवश्यक पर्ने प्रत्येक प्रवाहका लागि हेयरपिनिङ अनुमति दिन्छ, यो साझेदार होस्टका लागि मात्र होइन, त्यसैले यो द्रुत परीक्षणमा नभई समीक्षित परिवर्तनमा पर्नुपर्छ।

गन्तव्य-सीमित PAT किन वैकल्पिक छैन

डिक्रिप्ट भएको प्याकेटको स्रोत ठेगाना अझै क्लाइन्टको VPN ठेगाना हो, सामान्यतया 10.77.0.0/24 जस्तो पूलबाट। त्यो ठेगानाको सार्वजनिक इन्टरनेटमा कुनै मार्ग छैन, त्यसैले साझेदारले या कहिल्यै जवाफ दिँदैन या कतै जवाफ दिँदैन।

अनुवादले स्रोत सच्याउँछ र गन्तव्यलाई अस्पर्शित राख्छ। वस्तुहरू पहिले नै अन्तै परिभाषित भएकाले, यो गन्तव्यसम्म सीमित म्यानुअल नियमको यो स्वरूप हुन्छ:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

destination static भाग महत्त्वपूर्ण छ। त्यो छोड्दा नियम उद्देश्यभन्दा धेरै ट्राफिकसँग मिल्नसक्ने फराकिलो अनुवाद बन्छ, र क्रममा अगाडि रहेको फराकिलो identity नियमले यसलाई पूर्ण रूपमा हराउन सक्छ। तपाईंको नियम नै मिल्ने हो भनी ठान्नुअघि show nat detail र खण्डहरूको क्रम जाँच्नुहोस्।

इन्टरफेस PAT भन्नाले साझेदारले ASA को इन्टरफेस ठेगाना देख्छ, जसको माथिल्लो तहमा फेरि अनुवाद हुन सक्छ। सम्झौताले ठेगाना नाम दिन्छ भने एक होपमा नभई सुरुदेखि अन्त्यसम्म पुष्टि गर्नुहोस्।

सही परीक्षण गन्तव्यद्वारा प्रमाणित गर्नुहोस्

सामान्य what-is-my-ip पृष्ठ नभई साझेदार होस्टकै प्रयोग गर्नुहोस्। त्यो पृष्ठ लगभग निश्चित रूपमा split सूचीबाहिर छ, त्यसैले त्यसले तपाईंको स्थानीय इन्टरनेट ठेगाना रिपोर्ट गर्छ र यो बाटोबारे केही भन्दैन। साझेदार सेवामा नयाँ जडान खोल्नुहोस् र उनीहरूले कुन स्रोत देखे भनी सोध्नुहोस्, वा packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed चलाएर NAT र मार्ग चरणहरू लाइन-दर-लाइन पढ्नुहोस्। क्लाइन्टबाट traceroute कमजोर जाँच हो, किनकि यसले पहिले नै भइसकेको बाटो देखाउँछ, त्यसलाई छान्ने नीति होइन।

त्यसपछि के बदलिनु हुँदैन भनी जाँच्नुहोस्। सामान्य वेबसाइटले अझै स्थानीय जडानबाट बाहिर जानुपर्छ, र टनेल सूचीभित्रको निजी स्रोत अझै पहुँचयोग्य हुनुपर्छ। साझेदारलाई सच्याएर यी दुईमध्ये एउटा भत्काउने परिवर्तन अर्कै बग हो।

यो डिजाइनको काम गर्ने संस्करण छोटो छ: split ACL मा एउटा होस्ट, हेयरपिन अनुमति, गन्तव्य-सीमित एउटा PAT नियम। कथामा बाँकी सबै मिथक हो।

सम्बन्धित लेखहरू