ASA VPN hairpin: د دوو ټانلونو روتینګ د یو انټرفېس له لارې

یو لیرې کاروونکی له ASA سره نښلوي، د یوې څانګې شاته کوربه غواړي، او ASA هغه غوښتنه له هماغه انټرفېس څخه بېرته وړاندې باسي چې کاروونکی ترې راغلی وي. له دې هېڅ یوه هم دویم فزیکي پورټ نه غواړي. څه چې غواړي هغه څلور خپلواکې پرېکړې دي چې خلک یې معمولاً په یوه کې یوځای کوي: د hairpin اجازه، هغه ټانل چې سم پتې ساتي، هغه NAT پالیسي چې هغه سرچینه ساتي چې ژمنه مو کړې وه، او هغه لاسرسي پالیسي چې خدمت ته اجازه ورکوي.

یو پیکټ، دوه ټانلونه

جریان تعقیب کړئ او د عملیاتو ترتیب نور نه پرېښودل کېږي. پیکټ د لیرې لاسرسي ټانل دننه رسیږي، رمز یې پرانیستل کېږي او له کلبینټ حوض څخه د سرچینې سره یو عادي IP پیکټ ګرځي. بیا ASA هغه روت کوي، له سایټ-تر-سایټ crypto ACL سره یې پرتله کوي، بیا یې کوډ کوي او له بهرني انټرفېس څخه د څانګې په لور استوي.

لاندې پتې یوازې بېلګې دي، خو بڼه مهمه ده: سرچینه حوض دی، نه د ASA داخلي LAN.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

له دې دوې خبرې ترلاسه کېږي. کلبینټ ته د خپل لیرې لاسرسي نښلون له لارې د څانګې پریفکس لپاره مسیر ته اړتیا ده، یعنې split-tunnel یا لېږل شوې مسیر لړلیک باید هغه ولري. او څانګه باید پوه شي چې ټرافیک څنګه 10.77.0.20 ته یا هغه پتې ته چې ستاسو د NAT ډیزاین ځای ناستی کړی بېرته ولېږي.

د hairpin اجازه نړیواله ده

هغه کمانډ چې خلک ورته لاس وروړي دا دی: same-security-traffic permit intra-interface. دا اجازه ورکوي چې ټرافیک له هماغه یو انټرفېس څخه دننه او بهر شي، چې دا مسیر ورته اړتیا لري. دا یوه نړیواله تنظیم هم ده: فعالول یې د نورو بهیرونو چلند بدلوي چې ناڅاپه هماغه انټرفېس دوه ځله تېروي.

له همدې کبله دا د ډیبګ ناستې پرځای د بدلون ریکارډ ځای دی. وپوښتئ چې په وسیله کې نور څه اوس کولی شي هماغه انټرفېس لاره ونیسي، او آیا له هغو څخه یو څه باید ونیسي. په بوخت څنډه کې چې میلمه شبکې یا یو پر بل ورېدلې شریکې ټانلونه لري، ځواب په خپله نه نه دی. دلیل د تنظیم ترڅنګ ولیکئ، ځکه راتلونکی انجینر به کمانډ ومومي، نه خبرې اترې.

د ساتنې حد او NAT جلا دي

د سایټ-تر-سایټ ټانل هغه څه ساتي چې د هغه crypto ACL غوره کوي. که هغه ACL د سرچینې په توګه د ASA داخلي فرعي شبکه ونوموي، د لیرې لاسرسي حوض نه ساتل کېږي او پیکټ به یا وغورځول شي یا په روښانه ډول ولېږل شي، د پلیټفارم د ناسم ټرافیک چلند له مخې. کله چې ډیزاین د حوض پتې ساتي، حوض په ساتل شوي بهیر کې ورزیات کړئ.

بیا NAT پرېکړه کوي چې د حوض پته پاتې کېږي که نه. Identity NAT هغه ساتي، او څانګه 10.77.0.20 د سرچینې په توګه ویني. ژباړه تړون بدلوي: څانګه اوس ټرافیک ژباړل شوې پتې ته بېرته لېږي، او خپله پالیسي یې باید ومني. د قاعدو ترتیب پرېکړه کوي چې crypto ACL د ژباړې مخکې یا وروسته سره سمون خوري، نو د دې پرځای چې انګیرنه وکړئ کومه ګټي، اصلي بهیر ولولئ.

د یو ترانزیت قضیې لپاره د انټرنیټ عمومي PAT قاعدې مه حذف کوئ. هدفمند استثنا یا په قصد جوړه شوې identity قاعده تشریح او بېرته اخیستل اسانه دي، د وتلو پالیسي کې د سوري کېنولو په پرتله.

کوډ کول اجازه نه ده

کارکوونکی ټانل یوازې دا ثابتوي چې دوې خواوې پر کیلي او انتخابوونکو سره یوې دي. دا هېڅ نه وایي چې آیا دا کاروونکی کولی شي هغه خدمت ته ورسېږي. د لیرې لاسرسي نښلون سره تړلی VPN فلټر یا ګروپ پالیسي باید لا هم د څانګې منزل او پورټ ته اجازه ورکړي، او د بهرني مسیر انټرفېس ACL لا هم پلي کېږي.

ځواب په دواړو لورو وازموئ. هغه نښلون چې بریالی کېږي په داسې حال کې چې ګاونډی خدمت باید ناکام شي، له یوې بریالۍ ping څخه ډېر معلومات لري، ځکه ښیي چې پالیسي ټاکونکې ده نه پراخه پرانیستل شوې. که هغه ازموینه چې باید رد شي بریالۍ شوه، ګناه د ټانل نه ده؛ د پالیسي ده. دواړه پایلې په بدلون ریکارډ کې وساتئ چې راتلونکی کس پوه شي کوم چلند ارادي و.

hairpin یا دویم انټرفېس

د hairpin ترانزیت ډیزاین کوچنی ساتي او یوه نړیواله تنظیم لګښت کوي. جلا انټرفېس، یا د خپل مجازي انټرفېس سره د مسیر پر بنسټ ټانل، د ترانزیت لاره جلا کوي او تاسو ته د هر انټرفېس پالیسي درکوي، د پتې اېښودنې او بله crypto map یا پروفایل په لګښت. هېڅ یو هم ډېر سم نه دی؛ دوی په جلا توګه ناکامېږي.

د مسیر پر بنسټ ډیزاینونه بله ترتیبه ده، په هماغه ترتیباتو کې یو ټیک بکس نه. که تاسو دې ته ورشئ، پورتنی د پالیسي پر بنسټ crypto ACL بحث پلي کېدل بندوي او د مسیر جدول د غوراوي کار پیلوي.

له اصلي کلبینټ څخه تایید کړئ

د ASA څخه پیل شوې پلټنه بله سرچینه لري او د حوض-تر-څانګې لاره نه تېروي. د پنځه برخو د کتلو لپاره packet-tracer وکاروئ، بیا له اصلي لیرې کلبینټ څخه رښتینی نښلون پرانیزئ، ځکه تعقیبوونکی یوازې نقل کوي او د کلبینټ خپل روتینګ او پالیسي نه بدلوي.

د پلان شوي بدلون وروسته هغه خدمت سره ونښلوئ چې باید کار وکړي، بیا هغه چې باید رد شي، او بیا د څانګې د بېرته راتلو مسیر تایید کړئ. د Cisco د VPN hairpin NAT بېلګې intra-interface اجازه، NAT او ACL په لیدلو توګه جلا ساتي، او هماغه ذهني ماډل دی چې د کاپي کولو وړ دی.