ASA hairpin: د انټرنیټ وتل که د سایټ-تر-سایټ VPN پښه؟

د یوې ASA شاته دوه لرې لاسرسي کاروونکي کولی شي له هماغه بهرني انټرفیس څخه ترافیک واستوي او بشپړ توپیر لرونکی چلند ترلاسه کړي. یو یې عامه وېبپاڼې ته ځي، نو پاکټ سرچینې ژباړې او د انټرنیټ لارې ته اړتیا لري. بل د سایټ-تر-سایټ تونل شاته سرور ته ځي چې هماغه انټرفیس کې پای ته رسېږي، نو پاکټ هویت، سمون لرونکي تونل انتخاب کوونکي او د پیریدونکو حوض ته د بېرته راتلو لارې ته اړتیا لري. د هماغه انټرفیس اجازه د دواړو لپاره شرط دی او د هیچا لپاره حل نه دی.

دوه پښې، یو انټرفیس

مخکې له دې چې د NAT قاعده ولیکئ، پریکړه وکړئ چې کومه پښه جوړوئ، ځکه قاعدې د یو بل ځای نه شي نیولی. پښه A له پیریدونکي انټرنیټ ته ده: د حوض پته دننه، ژباړل شوې عامه پته بهر، له هماغه انټرفیس بېرته. پښه B له پیریدونکي د بل IPsec سیال بلې خوا ته خصوصي مخکښ ته ده: د حوض پته ساتل کېږي، بیا کوډ کېږي او هغه سیال ته رسول کېږي چې باید پوه شي چې حوض ته څنګه ځواب ورکړي.

هغه څه چې دواړو ته لومړی اړتیا ده، د هماغه انټرفیس اجازه ده. پرته له هغې ASA د پاکټ له هغه انټرفیس څخه چې پکې راغلی وړاندې تېرول ردوي، او ناکامي د پالیسۍ ستونزې پرځای د لارښوونې ستونزه ښکاري:

same-security-traffic permit intra-interface

هماغه یوه کرښه د تېرولو ترتیب اجازه ورکوي، لکه څنګه چې د ASA NAT حواله د هماغه انټرفیس لارو لپاره بیانوي. دا د پیریدونکي لاره نه زیاتوي، سرچینې ته اجازه نه ورکوي، پته نه ژباړي او د IPsec انتخاب کوونکي په اړه خبرې نه کوي، نو تمه وکړئ چې وروسته یې لا درې یا څلور نور شيان زیات کړئ او د هغې منل د پرمختګ په توګه مه لولئ.

پښه A: پیریدونکی انټرنیټ غواړي

د انټرنیټ وتلو لپاره باید د حوض پته مخکې له دې چې پاکټ وسیله پرېږدي، خصوصي اوسېدل بند کړي. په عادي PAT ډیزاین کې قاعده حوض ته د بهرني انټرفیس پتې ته ژباړي، او د بېرته راتلو حالت پیریدونکي ته د بهیر بیا رغونه کوي:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

بیا تایید کړئ چې پیریدونکي واقعاً له ASA نه غوښتي وو چې هغه ترافیک وړي. د ووېشل شوي تونل استثنا عامه منزل د تلیفون په خپل اړیکه باندې لېږي، چې ASA ته نه رسېږي، او هېڅکله نه لېږل شوی پاکټ هېڅ NAT قاعده نه سمولای شي. د ګروپ پالیسۍ د ووېشل شوي تونل لیست د هغه منزل سره پرتله کړئ چې تاسو یې ازموئ.

د پښې پاتې برخه عادي ده: له بهرني انټرفیس څخه د کارېدونکې اصلي یا ځانګړنې لار، د بهیر اجازه ورکوونکې لاسرسي پالیسي، او د هغه حل کوونکي پالیسۍ سره سم اداره شوی DNS چې تاسو ټاکلی. دلته route-lookup د لاندې په څېر هماغه دلیل لپاره زیات کړئ، ځکه چې د ننوتلو او وتلو انټرفیسونه یو شان دي.

پښه B: پیریدونکی خصوصي سایټ غواړي

دا پښه په ډېرو ځایونو کې ناکامېږي، نو په ترتیب یې ولیکئ. لومړی د پیریدونکي لاره: د منزل مخکښ باید د ووېشل شوي تونل لیست کې وي، که نه پیریدونکی به یې تونل ته نه ږدي. دویم د تونل انتخاب کوونکی: د سایټ-تر-سایټ کوډ ACL باید د حوض پتې څخه تر لرې مخکښ پورې پوښښ وکړي، نه یوازې د سیمه ییز LAN څخه تر لرې مخکښ پورې. درېیم هویت، تر څو د حوض پته په لاره کې انټرنیټ PAT ته ونه ژباړل شي.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

لرې خوا هغه برخه ده چې خلک یې ازمویل هېروي. سیال ته د حوض په لوري د بېرته راتلو لاره او هغه انتخاب کوونکی چې دا پکې وي اړین دی، او د هغه خپله پالیسي باید هغو سرچینه پتو ته اجازه ورکړي چې هغه به یې ویني. که سایټ د ژباړل شوي لید له لارې کارول کېږي، دا سم ډیزاین دی، خو بیا باید دواړه سیالان، دواړه انتخاب کوونکي او دواړه د لارښوونې جدولونه په ژباړل شوو پتو سره سلا شي.

د قاعدو ترتیب هم وګورئ. د هویت قاعدې پورته پراخه PAT قاعده به خصوصي تبادله هغه مهال ژباړي چې د هویت قاعده لا نه ده ارزول شوې، او نښه به د NAT تېروتنه نه، بلکې د سمون لرونکي SA پرته د سایټ تونل وي.

هغه ازموینه چې درته وایي کومه پښه مو جوړه کړه

د ترتیب لوستلو او هیله کولو پرځای د ASA خپله د لارې ارزونه وکاروئ. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed د یوه بهیر لپاره د NAT پریکړه، لاره او د ACL پایله ښیي؛ له خصوصي منزل سره یې تکرار کړئ. که د NAT پړاو له خصوصي څخه خصوصي ته بهیر بیا ولیکي، تاسو د هغه پاکټ لپاره پښه A جوړه کړې چې پښه B ته اړتیا لرله.

دوه نور حکمونه تشه ډکه کوي. show nat detail هغه د قاعدو ترتیب چاپوي چې packet-tracer تعقیب کړی، او show crypto ipsec sa ښیي چې آیا د هغه جوړه لپاره چې تاسو یې تمه لرئ انتخاب کوونکی شته. ورک SA د انتخاب کوونکي یا سیال د ترتیب مسئله ده، نه هغه څه چې د NAT قاعده یې سمولای شي.

هره پښه د هغه ترافیک سره تصدیق کړئ چې هغه ته خدمت کوي

پښه A د پیریدونکي په عادي عامه غوښتنه ومنئ، او پښه B د هغه خصوصي سرچینې په غوښتنه چې واقعاً شته. بیا هر یو د رد شوې سرچینې سره تکرار کړئ، ځکه چې „اجازه ورکړل شوې“ او „د لاسرسي پالیسۍ لخوا تصویب شوې“ یو ډول شاهد نه دي، او د مرکز څخه راپاڅېدونکی ping د پیریدونکي له لارو هیڅ یوه هم نه تمرینوي.

په ټکټ کې دواړه ازموینې ریکارډونه جلا وساتئ: د سرچینې پته، منزل، سمون خوړونکې NAT قاعده او پایله. کله چې راتلونکی راپور ووایي „VPN مات شو“، هغه جوړه به په یوه دقیقه کې درته ووایي چې کومه پښه شاته پاتې ده، او ځواب معمولاً لاره یا انتخاب کوونکی وي، نه هغه هماغه-انټرفیس کرښه چې هر څوک لومړی ورته شک کوي.