په VPN ټرافیک کې ASA identity NAT د IOS NAT استثنا سره

یو څانګه د انټرنېټ PAT او سایټ تر سایټ VPN په یوه Cisco ګېټوې کې چلوي، او NAT اضافه کېدو سره سم VPN کار کول بندوي. د تونل دننه پتې نور له هغه څه سره سمون نه خوري چې crypto ACL یې ساتي، یا بل لوري ته داسې ژباړل شوې پتې ښکاري چې ورته لار نه لري. Cisco دا په دوو ځایونو حل کوي: ASA هغه NAT قاعده غوره کوي چې پته پخپله نقشه کوي، او IOS د ACL په deny سره جریان د ژباړې له قاعدې بهر ساتي. دواړه اصلي پتې ساتي، او هیڅ یو هم د NAT پروسس پریښودل نه دي.

له قاعدې غوره کولو دمخه جریان ولیکئ

د هغه جریان په لیکلو پیل وکړئ چې ساتل یې غواړئ: ځایي LAN سرچینه، لیرې منزل او هغه دقیقه پته جوړه چې IPsec پالیسي یې ساتي. دا د قاعدې له سمون دمخه وکړئ، ځکه چې دا ټولګه ښیي کوم طبقه بند یا NAT قاعده باید سمون خوړلی وای.

بیا هغه قاعده ومومئ چې واقعاً سمون خوړلی، نه هغه چې ستاسو په نظر کې وه. په دواړو پلیټ فارمونو کې NAT په یو ترتیب ارزول کیږي، او ستاسو استثنا ته له کتلو دمخه کېدای شي یوه پخوانۍ قاعده وګټي. هغه استثنا چې سمه ښکاري خو بله قاعدې ته بایلي، هېڅکله تمه شوې کڅوړه د ساتنې پالیسۍ ته نه رسوي. نښه یې د استثنا نشتوالي په څېر ده، نو د ترتیب مخکې د قاعدو ترتیب باید ولولل شي.

ASA identity NAT یوه قاعده ده، نه پریښودل

په ASA کې identity NAT هغه NAT قاعده ده چې ژباړل شوې پته یې اصلي پتې سره برابره وي. دا لکه نورې قاعدې غوره کیږي او لا هم د ژباړې ثبت جوړوي، نو کڅوړه د NAT پروسس نه پریږدي. بدلون دا دی چې په شبکه کې پتې هماغسې پاتې کیږي، او IPsec پالیسي همدا غواړي.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

د قاعدې انټرفېسونه او د هغې route-lookup تنظیم باید د لېږد ډیزاین سره سمون وخوري. هغه قاعده چې پته سمه نقشه کوي خو په غلط انټرفېس جوړه پلي کیږي، ستاسو جریان لپاره نه غوره کیږي. Route-lookup فیصله کوي چې ژباړل شوې کڅوړه به روټ شي که اصلي منزل به وکارول شي، او همدا فیصله کوي چې بیرته راستنېدونکی ټرافیک به د تونل له لارې راوګرځي که نه.

په ASA خپله اداري لاسرسی جلا قضیه ده. که د اداري ټرافیک لپاره identity NAT وکاروئ، د خپرېدو پورې تړلې route-lookup شرط پلي کیږي، او د VPN مثال څخه کاپي شوې پراخه استثنا SSH نه جوړوي.

په IOS NAT ACL کې deny مانا دا ده چې دلته نه دی غوره شوی

په IOS کې انټرنېټ NAT د سرچینو لیست له مخې چلیږي، او هغه ACL فلټر نه، بلکې طبقه بند دی. Permit کرښه ټرافیک د ژباړې لپاره غوره کوي؛ deny کرښه مانا دا ده چې کڅوړه دلته نه ده غوره شوې. هغه deny د انټرفېس ACL د deny په څېر د کڅوړې غورځولو حکم نه دی.

دلته نه غوره کېدل له هېچېرته نه ژباړل کېدو هم تنګتر دي. بله NAT قاعده، بل انټرفېس یا route-map لا هم کولای شي جریان وژباړي، نو ټول NAT جدول باید ولولل شي. کڅوړې لا هم لار، سمون خوړونکې crypto ACL او د اصلي لاسرسي کنټرول په پولو کې اجازه غواړي.

لږترلږه IOS ترتیب deny په هماغه لیست کې د permit له پاسه ږدي او overload قاعده هماغه لیست ته اشاره کوي. بیا crypto ACL هماغه جوړه ساتي چې deny یې له ژباړې بهر کوي.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

د دواړو ماډلونو لپاره یوه ازموینه کېدونکې پوښتنه

دواړه ماډلونه یوې پوښتنې ته ځواب وایي: کومې قاعدې له دې جریان سره سمون وکړ او کومې پتې له انټرفېس ووتې؟ په باندني انټرفېس کې کېپچر وکړئ او د ګېټوې دمخه او وروسته سرچینه پته پرتله کړئ. بیا د بل لوري تونل ته کتنه وګورئ، ځکه SA کېدای شي ولاړ وي خو ساتل شوی جریان بل ځای ژباړل کیږي.

په ASA کې nat detail او د ژباړې جدول وښایاست؛ په IOS کې ip nat translations او اړوند ACL شمېرونکي وښایاست. هغه قاعده چې هېڅکله نه زیاتیږي هېڅکله نه ده غوره شوې، او دا crypto ترتیباتو ته نه، بلکې ترتیب، انټرفېس یا لوري ته اشاره کوي.

ترتیبات عموماً چېرته غلط کیږي

عام ناکامۍ میخانیکي دي. Deny د permit لاندې وي او هېڅکله سمون نه خوري. طبقه بند په غلط لوري پلي کیږي، نو بیرته جریان ژباړل کیږي. Identity قاعده سمې پتې خو غلطه انټرفېس جوړه پوښي. Crypto ACL هغه فرعي شبکه ساتي چې نور د NAT قاعدې له وړاندې کړي سره سمون نه خوري.

اصلي او وړاندې شوې پته جوړه د قاعدې د مالک ترڅنګ ولیکئ، ترڅو راتلونکی انجنیر وویني چې طبقه بند ولې ژباړه ردوي خو فایر وال اپلیکیشن ته اجازه ورکوي. دا په شخصي یادښت کې نه، بلکې د بدلون په ټکټ کې وساتئ. بیا له هر NAT بدلون وروسته جریان بیا وچلوئ، ځکه د قاعدو ترتیب د ترتیباتو برخه ده حتی کله چې د قاعدې متن نه وي بدل شوی. ولاړ تونل د دې ثبوت نه دی چې پتې ژوندې پاتې شوې؛ یوازې کېپچر شوې کڅوړه او د بل لوري decapsulation وروسته کتنه ثبوت دی.