ASA VPN hairpin: ਇੱਕ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਦੋ ਟਨਲਾਂ ਦੀ ਰੂਟਿੰਗ

ਇੱਕ ਰਿਮੋਟ ਵਰਤੋਂਕਾਰ ASA ਨਾਲ ਜੁੜਦਾ ਹੈ, ਸ਼ਾਖਾ ਪਿੱਛੇ ਇੱਕ ਹੋਸਟ ਮੰਗਦਾ ਹੈ, ਅਤੇ ASA ਉਹ ਬੇਨਤੀ ਉਸੇ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਬਾਹਰ ਭੇਜਦਾ ਹੈ ਜਿਸ ਰਾਹੀਂ ਵਰਤੋਂਕਾਰ ਆਇਆ ਸੀ। ਇਸ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਦੂਜੇ ਭੌਤਿਕ ਪੋਰਟ ਦੀ ਮੰਗ ਨਹੀਂ ਕਰਦਾ। ਜੋ ਮੰਗਦਾ ਹੈ ਉਹ ਚਾਰ ਸੁਤੰਤਰ ਫੈਸਲੇ ਹਨ ਜਿਨ੍ਹਾਂ ਨੂੰ ਲੋਕ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਵਿੱਚ ਮਿਲਾ ਦਿੰਦੇ ਹਨ: hairpin ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ, ਸਹੀ ਪਤਿਆਂ ਦੀ ਰੱਖਿਆ ਕਰਨ ਵਾਲੀ ਟਨਲ, ਤੁਹਾਡੇ ਵਾਅਦਾ ਕੀਤੇ ਸਰੋਤ ਨੂੰ ਬਚਾਉਣ ਵਾਲੀ NAT ਨੀਤੀ, ਅਤੇ ਸੇਵਾ ਨੂੰ ਅਧਿਕਾਰਤ ਕਰਨ ਵਾਲੀ ਪਹੁੰਚ ਨੀਤੀ।

ਇੱਕ ਪੈਕਟ, ਦੋ ਟਨਲਾਂ

ਪ੍ਰਵਾਹ ਦੀ ਪੈੜ ਲੱਭੋ ਅਤੇ ਕਾਰਵਾਈਆਂ ਦਾ ਕ੍ਰਮ ਰਹੱਸਮਈ ਹੋਣਾ ਬੰਦ ਕਰ ਦਿੰਦਾ ਹੈ। ਪੈਕਟ ਰਿਮੋਟ-ਪਹੁੰਚ ਟਨਲ ਦੇ ਅੰਦਰ ਆਉਂਦਾ ਹੈ, ਡੀਕ੍ਰਿਪਟ ਹੁੰਦਾ ਹੈ ਅਤੇ ਕਲਾਇੰਟ ਪੂਲ ਤੋਂ ਸਰੋਤ ਵਾਲਾ ਆਮ IP ਪੈਕਟ ਬਣ ਜਾਂਦਾ ਹੈ। ਫਿਰ ASA ਇਸਨੂੰ ਰੂਟ ਕਰਦਾ ਹੈ, ਸਾਈਟ-ਤੋਂ-ਸਾਈਟ crypto ACL ਨਾਲ ਮਿਲਾਉਂਦਾ ਹੈ, ਦੁਬਾਰਾ ਇਨਕ੍ਰਿਪਟ ਕਰਦਾ ਹੈ ਅਤੇ ਬਾਹਰੀ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਸ਼ਾਖਾ ਵੱਲ ਭੇਜਦਾ ਹੈ।

ਹੇਠਾਂ ਦਿੱਤੇ ਪਤੇ ਉਦਾਹਰਨ ਹਨ, ਪਰ ਆਕਾਰ ਮਹੱਤਵਪੂਰਨ ਹੈ: ਸਰੋਤ ਪੂਲ ਹੈ, ASA ਦਾ ਅੰਦਰੂਨੀ LAN ਨਹੀਂ।

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

ਇਸ ਤੋਂ ਦੋ ਗੱਲਾਂ ਨਿਕਲਦੀਆਂ ਹਨ। ਕਲਾਇੰਟ ਨੂੰ ਆਪਣੇ ਰਿਮੋਟ-ਪਹੁੰਚ ਕਨੈਕਸ਼ਨ ਰਾਹੀਂ ਸ਼ਾਖਾ ਦੇ ਪ੍ਰੀਫਿਕਸ ਲਈ ਰੂਟ ਚਾਹੀਦਾ ਹੈ, ਭਾਵ split-tunnel ਜਾਂ ਭੇਜੀ ਗਈ ਰੂਟ ਸੂਚੀ ਵਿੱਚ ਇਹ ਸ਼ਾਮਲ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਅਤੇ ਸ਼ਾਖਾ ਨੂੰ ਪਤਾ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਟ੍ਰੈਫਿਕ 10.77.0.20 'ਤੇ ਜਾਂ ਤੁਹਾਡੇ NAT ਡਿਜ਼ਾਈਨ ਨੇ ਬਦਲੇ ਪਤੇ 'ਤੇ ਕਿਵੇਂ ਵਾਪਸ ਭੇਜਣਾ ਹੈ।

hairpin ਇਜਾਜ਼ਤ ਗਲੋਬਲ ਹੈ

ਜਿਸ ਕਮਾਂਡ ਵੱਲ ਲੋਕ ਵਧਦੇ ਹਨ ਉਹ ਹੈ same-security-traffic permit intra-interface। ਇਹ ਟ੍ਰੈਫਿਕ ਨੂੰ ਉਸੇ ਇੰਟਰਫੇਸ ਵਿੱਚ ਆਉਣ ਅਤੇ ਬਾਹਰ ਜਾਣ ਦਿੰਦੀ ਹੈ, ਜੋ ਇਸ ਮਾਰਗ ਨੂੰ ਠੀਕ ਉਹੀ ਚਾਹੀਦਾ ਹੈ। ਇਹ ਇੱਕ ਗਲੋਬਲ ਸੈਟਿੰਗ ਵੀ ਹੈ: ਇਸਨੂੰ ਚਾਲੂ ਕਰਨ ਨਾਲ ਉਹਨਾਂ ਹੋਰ ਪ੍ਰਵਾਹਾਂ ਦਾ ਵਿਵਹਾਰ ਬਦਲ ਜਾਂਦਾ ਹੈ ਜੋ ਇਸੇ ਇੰਟਰਫੇਸ ਨੂੰ ਦੋ ਵਾਰ ਲੰਘਦੇ ਹਨ।

ਇਸੇ ਲਈ ਇਹ ਡੀਬੱਗਿੰਗ ਸੈਸ਼ਨ ਦੀ ਥਾਂ ਤਬਦੀਲੀ ਰਿਕਾਰਡ ਵਿੱਚ ਆਉਂਦੀ ਹੈ। ਪੁੱਛੋ ਕਿ ਬਾਕਸ 'ਤੇ ਹੋਰ ਕੀ ਹੁਣ ਇਸੇ ਇੰਟਰਫੇਸ ਦਾ ਰਾਹ ਲੈ ਸਕਦਾ ਹੈ, ਅਤੇ ਕੀ ਉਸ ਵਿੱਚੋਂ ਕਿਸੇ ਨੂੰ ਲੈਣਾ ਚਾਹੀਦਾ ਹੈ। ਮਹਿਮਾਨ ਨੈੱਟਵਰਕ ਜਾਂ ਇੱਕ ਦੂਜੇ ਉੱਤੇ ਚੜ੍ਹਦੀਆਂ ਸਾਂਝੇਦਾਰ ਟਨਲਾਂ ਵਾਲੇ ਰੁੱਝੇ ਕਿਨਾਰੇ 'ਤੇ ਜਵਾਬ ਆਪਣੇ ਆਪ ਨਹੀਂ ਨਹੀਂ ਹੁੰਦਾ। ਕਾਰਨ ਸੈਟਿੰਗ ਦੇ ਕੋਲ ਲਿਖੋ, ਕਿਉਂਕਿ ਅਗਲਾ ਇੰਜੀਨੀਅਰ ਕਮਾਂਡ ਲੱਭੇਗਾ, ਗੱਲਬਾਤ ਨਹੀਂ।

ਸੁਰੱਖਿਆ ਦਾ ਦਾਇਰਾ ਅਤੇ NAT ਵੱਖਰੇ ਹਨ

ਸਾਈਟ-ਤੋਂ-ਸਾਈਟ ਟਨਲ ਉਸ ਦੀ ਰੱਖਿਆ ਕਰਦੀ ਹੈ ਜੋ ਉਸਦਾ crypto ACL ਚੁਣਦਾ ਹੈ। ਜੇ ਉਹ ACL ਸਰੋਤ ਵਜੋਂ ASA ਦੇ ਅੰਦਰੂਨੀ ਸਬਨੈੱਟ ਦਾ ਨਾਮ ਲੈਂਦਾ ਹੈ, ਤਾਂ ਰਿਮੋਟ-ਪਹੁੰਚ ਪੂਲ ਸੁਰੱਖਿਅਤ ਨਹੀਂ ਹੈ ਅਤੇ ਪੈਕਟ ਜਾਂ ਤਾਂ ਸੁੱਟ ਦਿੱਤਾ ਜਾਵੇਗਾ ਜਾਂ ਨਾ-ਮਿਲਦੇ ਟ੍ਰੈਫਿਕ ਪ੍ਰਤੀ ਪਲੇਟਫਾਰਮ ਦੇ ਵਿਵਹਾਰ ਅਨੁਸਾਰ ਖੁੱਲ੍ਹਾ ਭੇਜਿਆ ਜਾਵੇਗਾ। ਜਦੋਂ ਡਿਜ਼ਾਈਨ ਪੂਲ ਦੇ ਪਤੇ ਬਚਾਉਂਦਾ ਹੈ ਤਾਂ ਪੂਲ ਨੂੰ ਸੁਰੱਖਿਅਤ ਪ੍ਰਵਾਹ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰੋ।

ਫਿਰ NAT ਫੈਸਲਾ ਕਰਦਾ ਹੈ ਕਿ ਪੂਲ ਦਾ ਪਤਾ ਬਚਦਾ ਹੈ ਜਾਂ ਨਹੀਂ। Identity NAT ਇਸਨੂੰ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਸ਼ਾਖਾ 10.77.0.20 ਨੂੰ ਸਰੋਤ ਵਜੋਂ ਦੇਖਦੀ ਹੈ। ਅਨੁਵਾਦ ਇਕਰਾਰਨਾਮਾ ਬਦਲਦਾ ਹੈ: ਸ਼ਾਖਾ ਹੁਣ ਟ੍ਰੈਫਿਕ ਅਨੁਵਾਦਿਤ ਪਤੇ 'ਤੇ ਵਾਪਸ ਭੇਜਦੀ ਹੈ, ਅਤੇ ਇਸਦੀ ਆਪਣੀ ਨੀਤੀ ਨੂੰ ਇਹ ਸਵੀਕਾਰ ਕਰਨਾ ਪਵੇਗਾ। ਨਿਯਮਾਂ ਦਾ ਕ੍ਰਮ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ crypto ACL ਅਨੁਵਾਦ ਤੋਂ ਪਹਿਲਾਂ ਮਿਲਦਾ ਹੈ ਜਾਂ ਬਾਅਦ ਵਿੱਚ, ਇਸ ਲਈ ਇਹ ਮੰਨਣ ਦੀ ਥਾਂ ਕਿ ਕੌਣ ਜਿੱਤੇਗਾ, ਅਸਲ ਪ੍ਰਵਾਹ ਪੜ੍ਹੋ।

ਇੱਕ ਟਰਾਂਜ਼ਿਟ ਕੇਸ ਚੱਲਣ ਲਈ ਆਮ ਇੰਟਰਨੈੱਟ PAT ਨਿਯਮ ਨਾ ਮਿਟਾਓ। ਨਿਸ਼ਾਨਾ ਛੋਟ ਜਾਂ ਜਾਣ-ਬੁੱਝ ਕੇ ਬਣਾਇਆ identity ਨਿਯਮ ਬਾਹਰ ਜਾਣ ਵਾਲੀ ਨੀਤੀ ਵਿੱਚ ਪੁੱਟਿਆ ਛੇਕ ਬਣਾਉਣ ਨਾਲੋਂ ਸਮਝਾਉਣਾ ਅਤੇ ਵਾਪਸ ਲੈਣਾ ਸੌਖਾ ਹੈ।

ਇਨਕ੍ਰਿਪਸ਼ਨ ਅਧਿਕਾਰ ਨਹੀਂ ਹੈ

ਚੱਲਦੀ ਟਨਲ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦੀ ਹੈ ਕਿ ਦੋ ਧਿਰਾਂ ਕੁੰਜੀਆਂ ਅਤੇ ਚੋਣਕਾਰਾਂ 'ਤੇ ਸਹਿਮਤ ਹਨ। ਇਹ ਨਹੀਂ ਦੱਸਦੀ ਕਿ ਇਹ ਵਰਤੋਂਕਾਰ ਉਸ ਸੇਵਾ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ ਜਾਂ ਨਹੀਂ। ਰਿਮੋਟ-ਪਹੁੰਚ ਕਨੈਕਸ਼ਨ ਨਾਲ ਜੁੜੇ VPN ਫਿਲਟਰ ਜਾਂ ਗਰੁੱਪ ਨੀਤੀ ਨੂੰ ਅਜੇ ਵੀ ਸ਼ਾਖਾ ਦੇ ਮੰਜ਼ਿਲ ਅਤੇ ਪੋਰਟ ਦੀ ਇਜਾਜ਼ਤ ਦੇਣੀ ਹੈ, ਅਤੇ ਬਾਹਰੀ ਮਾਰਗ ਦਾ ਇੰਟਰਫੇਸ ACL ਅਜੇ ਵੀ ਲਾਗੂ ਹੁੰਦਾ ਹੈ।

ਜਵਾਬ ਨੂੰ ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਵਿੱਚ ਪਰਖੋ। ਜਦੋਂ ਗੁਆਂਢੀ ਸੇਵਾ ਫੇਲ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ ਪਰ ਕਨੈਕਸ਼ਨ ਸਫਲ ਹੁੰਦਾ ਹੈ, ਉਹ ਇੱਕ ਸਫਲ ping ਨਾਲੋਂ ਵੱਧ ਜਾਣਕਾਰੀ ਦਿੰਦਾ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਨੀਤੀ ਪੂਰੀ ਖੁੱਲ੍ਹੀ ਨਹੀਂ, ਚੋਣਾਤਮਕ ਹੈ। ਜੇ ਮਨ੍ਹਾ ਕੀਤਾ ਜਾਣ ਵਾਲਾ ਟੈਸਟ ਸਫਲ ਹੋ ਜਾਵੇ, ਤਾਂ ਦੋਸ਼ ਟਨਲ ਦਾ ਨਹੀਂ; ਨੀਤੀ ਦਾ ਹੈ। ਦੋਵੇਂ ਨਤੀਜੇ ਤਬਦੀਲੀ ਰਿਕਾਰਡ ਵਿੱਚ ਰੱਖੋ ਤਾਂ ਕਿ ਅਗਲੇ ਵਿਅਕਤੀ ਨੂੰ ਪਤਾ ਹੋਵੇ ਕਿ ਕਿਹੜਾ ਵਿਵਹਾਰ ਇਰਾਦਤ ਸੀ।

hairpin ਜਾਂ ਦੂਜਾ ਇੰਟਰਫੇਸ

hairpin ਟਰਾਂਜ਼ਿਟ ਡਿਜ਼ਾਈਨ ਨੂੰ ਛੋਟਾ ਰੱਖਦਾ ਹੈ ਅਤੇ ਇੱਕ ਗਲੋਬਲ ਸੈਟਿੰਗ ਦਾ ਖਰਚਾ ਲੈਂਦਾ ਹੈ। ਵੱਖਰਾ ਇੰਟਰਫੇਸ, ਜਾਂ ਆਪਣੇ ਵਰਚੁਅਲ ਇੰਟਰਫੇਸ ਵਾਲੀ ਰੂਟ-ਆਧਾਰਿਤ ਟਨਲ, ਟਰਾਂਜ਼ਿਟ ਮਾਰਗ ਨੂੰ ਵੱਖ ਕਰਦੀ ਹੈ ਅਤੇ ਤੁਹਾਨੂੰ ਪ੍ਰਤੀ-ਇੰਟਰਫੇਸ ਨੀਤੀ ਦਿੰਦੀ ਹੈ, ਬਦਲੇ ਵਿੱਚ ਪਤਾ-ਪ੍ਰਬੰਧਨ ਅਤੇ ਇੱਕ ਹੋਰ crypto map ਜਾਂ ਪ੍ਰੋਫਾਈਲ ਦੇ ਖਰਚੇ ਨਾਲ। ਕੋਈ ਵੀ ਵੱਧ ਸਹੀ ਨਹੀਂ; ਉਹ ਵੱਖਰੇ ਤਰੀਕੇ ਨਾਲ ਫੇਲ ਹੁੰਦੀਆਂ ਹਨ।

ਰੂਟ-ਆਧਾਰਿਤ ਡਿਜ਼ਾਈਨ ਵੱਖਰੀ ਬਣਤਰ ਹੈ, ਉਸੇ ਕਨਫਿਗਰੇਸ਼ਨ 'ਤੇ ਚੈੱਕਬਾਕਸ ਨਹੀਂ। ਜੇ ਤੁਸੀਂ ਉਸ ਵੱਲ ਜਾਂਦੇ ਹੋ, ਤਾਂ ਉੱਪਰਲੀ ਨੀਤੀ-ਆਧਾਰਿਤ crypto ACL ਚਰਚਾ ਲਾਗੂ ਹੋਣਾ ਬੰਦ ਕਰ ਦਿੰਦੀ ਹੈ ਅਤੇ ਰੂਟਿੰਗ ਟੇਬਲ ਚੋਣ ਦਾ ਕੰਮ ਕਰਨ ਲੱਗਦੀ ਹੈ।

ਅਸਲ ਕਲਾਇੰਟ ਤੋਂ ਪੁਸ਼ਟੀ ਕਰੋ

ASA ਤੋਂ ਸ਼ੁਰੂ ਕੀਤੀ ਜਾਂਚ ਦਾ ਸਰੋਤ ਪਤਾ ਵੱਖਰਾ ਹੁੰਦਾ ਹੈ ਅਤੇ ਇਹ ਪੂਲ-ਤੋਂ-ਸ਼ਾਖਾ ਮਾਰਗ ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰੇਗੀ। ਪੰਜ-ਅੰਗ ਦੀ ਜਾਂਚ ਲਈ packet-tracer ਵਰਤੋ, ਫਿਰ ਅਸਲ ਰਿਮੋਟ ਕਲਾਇੰਟ ਤੋਂ ਸੱਚਾ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹੋ, ਕਿਉਂਕਿ ਟਰੇਸਰ ਸਿਰਫ਼ ਨਕਲ ਕਰਦਾ ਹੈ ਅਤੇ ਕਲਾਇੰਟ ਦੀ ਆਪਣੀ ਰੂਟਿੰਗ ਅਤੇ ਨੀਤੀ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈਂਦਾ।

ਯੋਜਨਾਬੱਧ ਤਬਦੀਲੀ ਤੋਂ ਬਾਅਦ ਉਸ ਸੇਵਾ ਨਾਲ ਜੁੜੋ ਜੋ ਚੱਲਣੀ ਚਾਹੀਦੀ ਹੈ, ਫਿਰ ਉਸ ਨਾਲ ਜੋ ਰੱਦ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ, ਅਤੇ ਫਿਰ ਸ਼ਾਖਾ ਦਾ ਵਾਪਸੀ ਮਾਰਗ ਪੁਸ਼ਟੀ ਕਰੋ। Cisco ਦੀਆਂ VPN hairpin NAT ਉਦਾਹਰਨਾਂ intra-interface ਇਜਾਜ਼ਤ, NAT ਅਤੇ ACL ਨੂੰ ਦਿੱਸਦੇ ਤੌਰ 'ਤੇ ਵੱਖਰਾ ਰੱਖਦੇ ਹਨ, ਅਤੇ ਇਹੀ ਨਕਲ ਕਰਨ ਯੋਗ ਮਾਨਸਿਕ ਮਾਡਲ ਹੈ।