ASA hairpin: ਇੰਟਰਨੈੱਟ ਐਗਜ਼ਿਟ ਜਾਂ ਸਾਈਟ-ਟੂ-ਸਾਈਟ VPN ਲੈੱਗ?

ਇੱਕੋ ASA ਪਿੱਛੇ ਦੇ ਦੋ ਰਿਮੋਟ-ਐਕਸੈਸ ਉਪਭੋਗਤਾ ਇੱਕੋ ਬਾਹਰੀ ਇੰਟਰਫ਼ੇਸ ਤੋਂ ਟ੍ਰੈਫ਼ਿਕ ਭੇਜ ਸਕਦੇ ਹਨ ਅਤੇ ਪੂਰੀ ਤਰ੍ਹਾਂ ਵੱਖਰਾ ਵਿਵਹਾਰ ਪਾ ਸਕਦੇ ਹਨ। ਇੱਕ ਜਣਾ ਜਨਤਕ ਵੈੱਬਸਾਈਟ ਵੱਲ ਜਾ ਰਿਹਾ ਹੈ, ਇਸ ਲਈ ਪੈਕੈਟ ਨੂੰ ਸਰੋਤ ਅਨੁਵਾਦ ਅਤੇ ਇੰਟਰਨੈੱਟ ਰੂਟ ਚਾਹੀਦਾ ਹੈ। ਦੂਜਾ ਉਸੇ ਇੰਟਰਫ਼ੇਸ ’ਤੇ ਖ਼ਤਮ ਹੋਣ ਵਾਲੀ ਸਾਈਟ-ਟੂ-ਸਾਈਟ ਟਨਲ ਪਿੱਛੇ ਦੇ ਸਰਵਰ ਵੱਲ ਜਾ ਰਿਹਾ ਹੈ, ਇਸ ਲਈ ਪੈਕੈਟ ਨੂੰ ਪਛਾਣ, ਮਿਲਦਾ ਟਨਲ ਸਿਲੈਕਟਰ ਅਤੇ ਕਲਾਇੰਟ ਪੂਲ ਵੱਲ ਵਾਪਸੀ ਮਾਰਗ ਚਾਹੀਦਾ ਹੈ। ਇੱਕੋ ਇੰਟਰਫ਼ੇਸ ਦੀ ਇਜਾਜ਼ਤ ਦੋਵਾਂ ਲਈ ਪੂਰਵ-ਸ਼ਰਤ ਹੈ ਅਤੇ ਕਿਸੇ ਲਈ ਵੀ ਹੱਲ ਨਹੀਂ।

ਦੋ ਲੈੱਗ, ਇੱਕ ਇੰਟਰਫ਼ੇਸ

NAT ਨਿਯਮ ਲਿਖਣ ਤੋਂ ਪਹਿਲਾਂ ਤੈਅ ਕਰੋ ਕਿ ਤੁਸੀਂ ਕਿਹੜਾ ਲੈੱਗ ਬਣਾ ਰਹੇ ਹੋ, ਕਿਉਂਕਿ ਨਿਯਮ ਇੱਕ-ਦੂਜੇ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈ ਸਕਦੇ। ਲੈੱਗ A ਕਲਾਇੰਟ ਤੋਂ ਇੰਟਰਨੈੱਟ ਹੈ: ਪੂਲ ਦਾ ਪਤਾ ਅੰਦਰ, ਅਨੁਵਾਦਿਤ ਜਨਤਕ ਪਤਾ ਬਾਹਰ, ਉਸੇ ਇੰਟਰਫ਼ੇਸ ਰਾਹੀਂ ਵਾਪਸ। ਲੈੱਗ B ਕਲਾਇੰਟ ਤੋਂ ਦੂਜੇ IPsec ਪੀਅਰ ਦੇ ਪਾਰਲੇ ਪਾਸੇ ਦੇ ਨਿੱਜੀ ਪ੍ਰੀਫ਼ਿਕਸ ਤੱਕ ਹੈ: ਪੂਲ ਦਾ ਪਤਾ ਸੰਭਾਲਿਆ ਜਾਂਦਾ ਹੈ, ਦੁਬਾਰਾ ਇਨਕ੍ਰਿਪਟ ਹੁੰਦਾ ਹੈ ਅਤੇ ਅਜਿਹੇ ਪੀਅਰ ਨੂੰ ਪਹੁੰਚਾਇਆ ਜਾਂਦਾ ਹੈ ਜਿਸਨੂੰ ਪੂਲ ਦਾ ਜਵਾਬ ਦੇਣਾ ਆਉਣਾ ਚਾਹੀਦਾ ਹੈ।

ਦੋਵਾਂ ਨੂੰ ਪਹਿਲਾਂ ਜੋ ਚਾਹੀਦਾ ਹੈ ਉਹ ਇੱਕੋ ਇੰਟਰਫ਼ੇਸ ਦੀ ਇਜਾਜ਼ਤ ਹੈ। ਇਸ ਤੋਂ ਬਿਨਾਂ ASA ਪੈਕੈਟ ਨੂੰ ਉਸ ਇੰਟਰਫ਼ੇਸ ਤੋਂ ਅੱਗੇ ਭੇਜਣ ਤੋਂ ਇਨਕਾਰ ਕਰਦਾ ਹੈ ਜਿਸ ’ਤੇ ਉਹ ਆਇਆ ਸੀ, ਅਤੇ ਨਾਕਾਮੀ ਨੀਤੀ ਦੀ ਸਮੱਸਿਆ ਨਹੀਂ ਸਗੋਂ ਰੂਟਿੰਗ ਦੀ ਸਮੱਸਿਆ ਵਾਂਗ ਦਿਸਦੀ ਹੈ:

same-security-traffic permit intra-interface

ਉਹ ਇੱਕ ਲਾਈਨ ਅੱਗੇ ਭੇਜਣ ਦੀ ਵਿਵਸਥਾ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ, ਜਿਵੇਂ ASA NAT ਸੰਦਰਭ ਇੱਕੋ ਇੰਟਰਫ਼ੇਸ ਦੇ ਮਾਰਗਾਂ ਲਈ ਦੱਸਦਾ ਹੈ। ਇਹ ਕੋਈ ਕਲਾਇੰਟ ਰੂਟ ਨਹੀਂ ਜੋੜਦੀ, ਕਿਸੇ ਸਰੋਤ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੰਦੀ, ਕੋਈ ਪਤਾ ਅਨੁਵਾਦ ਨਹੀਂ ਕਰਦੀ ਅਤੇ IPsec ਸਿਲੈਕਟਰ ’ਤੇ ਗੱਲਬਾਤ ਨਹੀਂ ਕਰਦੀ, ਇਸ ਲਈ ਇਸ ਤੋਂ ਬਾਅਦ ਹੋਰ ਤਿੰਨ ਜਾਂ ਚਾਰ ਚੀਜ਼ਾਂ ਜੋੜਨ ਦੀ ਉਮੀਦ ਰੱਖੋ ਅਤੇ ਇਸਦੀ ਮਨਜ਼ੂਰੀ ਨੂੰ ਤਰੱਕੀ ਨਾ ਪੜ੍ਹੋ।

ਲੈੱਗ A: ਕਲਾਇੰਟ ਨੂੰ ਇੰਟਰਨੈੱਟ ਚਾਹੀਦਾ ਹੈ

ਇੰਟਰਨੈੱਟ ਐਗਜ਼ਿਟ ਲਈ ਪੈਕੈਟ ਦੇ ਡਿਵਾਈਸ ਛੱਡਣ ਤੋਂ ਪਹਿਲਾਂ ਪੂਲ ਦਾ ਪਤਾ ਨਿੱਜੀ ਹੋਣਾ ਬੰਦ ਕਰਨਾ ਪਵੇਗਾ। ਆਮ PAT ਡਿਜ਼ਾਈਨ ਵਿੱਚ ਨਿਯਮ ਪੂਲ ਨੂੰ ਬਾਹਰੀ ਇੰਟਰਫ਼ੇਸ ਦੇ ਪਤੇ ਵਿੱਚ ਅਨੁਵਾਦ ਕਰਦਾ ਹੈ, ਅਤੇ ਵਾਪਸੀ ਸਥਿਤੀ ਕਲਾਇੰਟ ਵੱਲ ਦਾ ਪ੍ਰਵਾਹ ਬਹਾਲ ਕਰਦੀ ਹੈ:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਕਲਾਇੰਟ ਨੇ ਸੱਚਮੁੱਚ ASA ਨੂੰ ਉਹ ਟ੍ਰੈਫ਼ਿਕ ਢੋਣ ਲਈ ਕਿਹਾ ਸੀ। ਸਪਲਿਟ-ਟਨਲ ਛੋਟ ਜਨਤਕ ਮੰਜ਼ਿਲ ਨੂੰ ਫ਼ੋਨ ਦੇ ਆਪਣੇ ਕਨੈਕਸ਼ਨ ਰਾਹੀਂ ਭੇਜਦੀ ਹੈ, ਜੋ ASA ਤੱਕ ਕਦੇ ਨਹੀਂ ਪਹੁੰਚਦਾ, ਅਤੇ ਕਦੇ ਨਾ ਭੇਜੇ ਪੈਕੈਟ ਨੂੰ ਕੋਈ NAT ਨਿਯਮ ਠੀਕ ਨਹੀਂ ਕਰਦਾ। ਗਰੁੱਪ ਨੀਤੀ ਦੀ ਸਪਲਿਟ-ਟਨਲ ਸੂਚੀ ਦੀ ਤੁਲਨਾ ਉਸ ਮੰਜ਼ਿਲ ਨਾਲ ਕਰੋ ਜਿਸਦੀ ਤੁਸੀਂ ਜਾਂਚ ਕਰ ਰਹੇ ਹੋ।

ਲੈੱਗ ਦਾ ਬਾਕੀ ਹਿੱਸਾ ਆਮ ਹੈ: ਬਾਹਰੀ ਇੰਟਰਫ਼ੇਸ ਤੋਂ ਵਰਤੋਂਯੋਗ ਡਿਫ਼ਾਲਟ ਜਾਂ ਖ਼ਾਸ ਰੂਟ, ਪ੍ਰਵਾਹ ਦੀ ਇਜਾਜ਼ਤ ਦੇਣ ਵਾਲੀ ਐਕਸੈਸ ਨੀਤੀ, ਅਤੇ ਤੁਹਾਡੀ ਚੁਣੀ ਰਿਜ਼ੌਲਵਰ ਨੀਤੀ ਅਨੁਸਾਰ ਸੰਭਾਲਿਆ DNS। ਇੱਥੇ route-lookup ਹੇਠਾਂ ਵਾਂਗ ਇਸੇ ਕਾਰਨ ਲਈ ਜੋੜੋ, ਕਿਉਂਕਿ ਦਾਖਲ ਅਤੇ ਨਿਕਾਸ ਇੰਟਰਫ਼ੇਸ ਇੱਕੋ ਜਿਹੇ ਹਨ।

ਲੈੱਗ B: ਕਲਾਇੰਟ ਨੂੰ ਨਿੱਜੀ ਸਾਈਟ ਚਾਹੀਦੀ ਹੈ

ਇਹ ਲੈੱਗ ਵੱਧ ਥਾਵਾਂ ’ਤੇ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਇਸਨੂੰ ਕ੍ਰਮ ਵਿੱਚ ਲਿਖੋ। ਪਹਿਲਾਂ ਕਲਾਇੰਟ ਰੂਟ: ਮੰਜ਼ਿਲ ਪ੍ਰੀਫ਼ਿਕਸ ਸਪਲਿਟ-ਟਨਲ ਸੂਚੀ ਵਿੱਚ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਨਹੀਂ ਤਾਂ ਕਲਾਇੰਟ ਇਸਨੂੰ ਟਨਲ ਵਿੱਚ ਨਹੀਂ ਰੱਖੇਗਾ। ਦੂਜਾ ਟਨਲ ਸਿਲੈਕਟਰ: ਸਾਈਟ-ਟੂ-ਸਾਈਟ ਕ੍ਰਿਪਟੋ ACL ਨੂੰ ਪੂਲ ਪਤੇ ਤੋਂ ਦੂਰਲੇ ਪ੍ਰੀਫ਼ਿਕਸ ਤੱਕ ਕਵਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ, ਸਿਰਫ਼ ਸਥਾਨਕ LAN ਤੋਂ ਦੂਰਲੇ ਪ੍ਰੀਫ਼ਿਕਸ ਤੱਕ ਨਹੀਂ। ਤੀਜਾ ਪਛਾਣ, ਤਾਂ ਜੋ ਪੂਲ ਦਾ ਪਤਾ ਰਸਤੇ ਵਿੱਚ ਇੰਟਰਨੈੱਟ PAT ਵਿੱਚ ਅਨੁਵਾਦ ਨਾ ਹੋ ਜਾਵੇ।

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

ਦੂਰਲਾ ਪਾਸਾ ਉਹ ਹਿੱਸਾ ਹੈ ਜਿਸਨੂੰ ਲੋਕ ਜਾਂਚਣਾ ਭੁੱਲ ਜਾਂਦੇ ਹਨ। ਪੀਅਰ ਨੂੰ ਪੂਲ ਵੱਲ ਵਾਪਸੀ ਰੂਟ ਅਤੇ ਇਸਨੂੰ ਸ਼ਾਮਲ ਕਰਨ ਵਾਲਾ ਸਿਲੈਕਟਰ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਇਸਦੀ ਆਪਣੀ ਨੀਤੀ ਨੂੰ ਉਹ ਸਰੋਤ ਪਤੇ ਮਨਜ਼ੂਰ ਕਰਨੇ ਚਾਹੀਦੇ ਹਨ ਜੋ ਇਹ ਦੇਖੇਗੀ. ਜੇ ਸਾਈਟ ਦੀ ਥਾਂ ਅਨੁਵਾਦਿਤ ਨਜ਼ਾਰੇ ਰਾਹੀਂ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਇਹ ਵੈਧ ਡਿਜ਼ਾਈਨ ਹੈ, ਪਰ ਫਿਰ ਦੋਵਾਂ ਪੀਅਰਾਂ, ਦੋਵਾਂ ਸਿਲੈਕਟਰਾਂ ਅਤੇ ਦੋਵਾਂ ਰੂਟਿੰਗ ਟੇਬਲਾਂ ਨੂੰ ਅਨੁਵਾਦਿਤ ਪਤਿਆਂ ’ਤੇ ਸਹਿਮਤ ਹੋਣਾ ਪਵੇਗਾ।

ਨਿਯਮਾਂ ਦਾ ਕ੍ਰਮ ਵੀ ਜਾਂਚੋ। ਪਛਾਣ ਨਿਯਮ ਦੇ ਉੱਪਰ ਵਿਆਪਕ PAT ਨਿਯਮ ਨਿੱਜੀ ਅਦਾਨ-ਪ੍ਰਦਾਨ ਦਾ ਅਨੁਵਾਦ ਪਛਾਣ ਨਿਯਮ ਦੇ ਮੁਲਾਂਕਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਕਰ ਦੇਵੇਗਾ, ਅਤੇ ਲੱਛਣ NAT ਗਲਤੀ ਨਹੀਂ ਸਗੋਂ ਮਿਲਦੇ SA ਤੋਂ ਬਿਨਾਂ ਸਾਈਟ ਟਨਲ ਹੋਵੇਗਾ।

ਉਹ ਜਾਂਚ ਜੋ ਦੱਸਦੀ ਹੈ ਕਿ ਤੁਸੀਂ ਕਿਹੜਾ ਲੈੱਗ ਬਣਾਇਆ

ਕੌਂਫਿਗਰੇਸ਼ਨ ਪੜ੍ਹ ਕੇ ਆਸ ਰੱਖਣ ਦੀ ਥਾਂ ASA ਦੇ ਆਪਣੇ ਮਾਰਗ ਮੁਲਾਂਕਣ ਦੀ ਵਰਤੋਂ ਕਰੋ। packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed ਇੱਕ ਪ੍ਰਵਾਹ ਲਈ NAT ਫ਼ੈਸਲਾ, ਰੂਟ ਅਤੇ ACL ਨਤੀਜਾ ਦਿਖਾਉਂਦਾ ਹੈ; ਨਿੱਜੀ ਮੰਜ਼ਿਲ ਨਾਲ ਦੁਹਰਾਓ। ਜੇ NAT ਪੜਾਅ ਨਿੱਜੀ-ਤੋਂ-ਨਿੱਜੀ ਪ੍ਰਵਾਹ ਮੁੜ ਲਿਖਦਾ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਉਸ ਪੈਕੈਟ ਲਈ ਲੈੱਗ A ਬਣਾਇਆ ਜਿਸਨੂੰ ਲੈੱਗ B ਚਾਹੀਦਾ ਸੀ।

ਦੋ ਹੋਰ ਕਮਾਂਡ ਖਾਲੀ ਥਾਂ ਭਰਦੀਆਂ ਹਨ। show nat detail packet-tracer ਵੱਲੋਂ ਅਪਣਾਇਆ ਨਿਯਮ ਕ੍ਰਮ ਛਾਪਦਾ ਹੈ, ਅਤੇ show crypto ipsec sa ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਜਿਸ ਜੋੜੀ ਦੀ ਤੁਸੀਂ ਉਮੀਦ ਕਰ ਰਹੇ ਹੋ ਉਸ ਲਈ ਸਿਲੈਕਟਰ ਮੌਜੂਦ ਹੈ ਜਾਂ ਨਹੀਂ। ਗੁੰਮ SA ਸਿਲੈਕਟਰ ਜਾਂ ਪੀਅਰ ਕੌਂਫਿਗਰੇਸ਼ਨ ਦੀ ਗੱਲ ਹੈ, ਅਜਿਹੀ ਚੀਜ਼ ਨਹੀਂ ਜੋ NAT ਨਿਯਮ ਠੀਕ ਕਰ ਸਕੇ।

ਹਰ ਲੈੱਗ ਨੂੰ ਉਸ ਟ੍ਰੈਫ਼ਿਕ ਨਾਲ ਪਰਖੋ ਜਿਸਦੀ ਇਹ ਸੇਵਾ ਕਰਦਾ ਹੈ

ਲੈੱਗ A ਨੂੰ ਕਲਾਇੰਟ ਦੀ ਆਮ ਜਨਤਕ ਬੇਨਤੀ ਨਾਲ ਸਵੀਕਾਰ ਕਰੋ, ਅਤੇ ਲੈੱਗ B ਨੂੰ ਸੱਚਮੁੱਚ ਮੌਜੂਦ ਨਿੱਜੀ ਸਰੋਤ ਦੀ ਬੇਨਤੀ ਨਾਲ ਸਵੀਕਾਰ ਕਰੋ। ਫਿਰ ਹਰ ਇੱਕ ਨੂੰ ਰੱਦ ਕੀਤੇ ਸਰੋਤ ਨਾਲ ਦੁਹਰਾਓ, ਕਿਉਂਕਿ “ਮਨਜ਼ੂਰ” ਅਤੇ “ਐਕਸੈਸ ਨੀਤੀ ਵੱਲੋਂ ਮਨਜ਼ੂਰ” ਇੱਕੋ ਸਬੂਤ ਨਹੀਂ ਹਨ, ਅਤੇ ਹੱਬ ਤੋਂ ਉੱਠਣ ਵਾਲਾ ping ਕਲਾਇੰਟ ਮਾਰਗਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਨੂੰ ਵੀ ਨਹੀਂ ਪਰਖਦਾ।

ਟਿਕਟ ਵਿੱਚ ਦੋਵੇਂ ਜਾਂਚ ਰਿਕਾਰਡ ਵੱਖਰੇ ਰੱਖੋ: ਸਰੋਤ ਪਤਾ, ਮੰਜ਼ਿਲ, ਮਿਲਿਆ NAT ਨਿਯਮ ਅਤੇ ਨਤੀਜਾ। ਜਦੋਂ ਅਗਲੀ ਰਿਪੋਰਟ ਕਹੇ “VPN ਟੁੱਟ ਗਿਆ ਹੈ”, ਤਾਂ ਉਹ ਜੋੜੀ ਇੱਕ ਮਿੰਟ ਵਿੱਚ ਦੱਸ ਦੇਵੇਗੀ ਕਿ ਕਿਹੜਾ ਲੈੱਗ ਪਿੱਛੇ ਗਿਆ, ਅਤੇ ਜਵਾਬ ਆਮ ਤੌਰ ’ਤੇ ਰੂਟ ਜਾਂ ਸਿਲੈਕਟਰ ਹੁੰਦਾ ਹੈ, ਸਭ ਤੋਂ ਪਹਿਲਾਂ ਸ਼ੱਕ ਕੀਤੀ ਜਾਣ ਵਾਲੀ ਉਹੀ-ਇੰਟਰਫ਼ੇਸ ਲਾਈਨ ਨਹੀਂ।