سپلټ ټنل یو عام هوسټ د ASA د NAT قواعدو څخه نه خلاصوي

سپلټ ټنلنګ معمولاً د دې لارې په توګه تشریح کېږي چې شرکت ټرافیک د ټنل دننه او پاتې انټرنیټ د فایر وال بهر وساتي۔ د دې تشریح دواړه نیمې په یوه طریقه غلطې دي۔ سپلټ ټنلنګ هغه د لارې پرېکړه ده چې کلاینټ کوي، او د لارې پرېکړه د دې په اړه هیڅ نه وایي چې پاکټ headend ته رسېدو وروسته څه پېږي۔

په عامه پته یوه ملګرې خدمت چې ټینګار کوي ستاسو د مرکزي دفتر پته وویني، همدا کافي ده چې دا کیسه مات کړي۔

افسانه: سپلټ ټنل فایر وال له لارې وباسي

باور دا دی چې له خصوصي سلسلو بهر هر هدف په محلي انټرنیټ اړیکه کې پاتې کېږي، نو فایر وال یې هېڅکله نه ویني او هېڅکله ورته قاعده نه غواړي۔ دا یوازې هغه مهال سم دی چې هدف د ټنل په لیست کې نه وي۔ کله چې یو آپریټر عام هوسټ split-include ACL ته ورزیات کړي، کلاینټ هغه ټرافیک ټنل ته لېږي، او ASA باید هغه لکه هر بل ډیکریپټ شوی بهیر وټاکي، فلټر او وژباړي۔ په کلاینټ کې د هدف لیست پرته بل څه نه دي بدل شوي۔

کلاینټ روټر نه شو۔ هغه هغه پالیسي تعقیب کړه چې تاسو ورکړې وه۔

د split-include لاره په رښتیا څه کوي

په Cisco ASA لرې لاسرسي ترتیب کې ګروپ پالیسي split-tunnel-policy tunnelspecified او یو split-tunnel-network-list لري چې یو معیاري ACL نوموي۔ په هغه ACL کې هره permit کرښه هغه هدف دی چې کلاینټ باید ټنل ته ولېږي، او نور هر څه بیا هم محلي ډیفالټ لاره کاروي۔

یو هوسټ زیاتول یوه کرښه ده، او دا د بدلون یوازینی برخه ده چې کلاینټ یې لیدلی شي: access-list RA-SPLIT standard permit host 203.0.113.20۔

له هغې وروسته کلاینټ بیا وصل کړئ۔ پالیسي د وصلېدو پر مهال تبادله کېږي، نو جوړه شوې ناسته زوړ لیست ساتي او بدلون داسې ښکاري لکه هېڅ یې نه وي کړی۔

پاکټ په هماغه انټرفیس کې راځي او ځي

اوس د ډیکریپشن وروسته بهیر تعقیب کړئ۔ پاکټ د VPN ټنل له لارې د باندې انټرفیس ته راغی، هدف یې عامه پته ده، او د لارښوونې جدول یې هماغه باندې انټرفیس له لارې بېرته انټرنیټ ته لېږي۔ هغه ټرافیک چې په یو انټرفیس کې راځي او وځي غورځول کېږي پرته له دې چې ASA ته اجازه ورکړل شي، او same-security-traffic permit intra-interface همدا کوي۔ پرته له دې اړیکه داسې ناکامېږي چې د لارښوونې ستونزې په څېر ښکاري خو نه ده۔

هغه ترتیب نړیوال دی۔ دا هغه هر بهیر ته hairpinning اجازه ورکوي چې ورته اړتیا لري، نه یوازې دې ملګري هوسټ ته، نو ځای یې په کتل شوي بدلون کې دی نه په چټک ازموینه کې۔

ولې د هدف په حد محدود PAT اختیاري نه دی

د ډیکریپټ شوي پاکټ سرچینه لا هم د کلاینټ VPN پته ده، معمولاً د 10.77.0.0/24 په څېر حوض څخه۔ هغه پته په عامه انټرنیټ کې لاره نه لري، نو ملګری یا هېڅکله ځواب نه وایي یا کوم ځای ته ځواب نه وایي۔

ژباړه سرچینه سمه کوي او هدف لاس نه ورته کوي۔ ځکه چې شیان لا دمخه بل ځای تعریف شوي، د دې هدف په حد محدود لاسي قاعده دا بڼه لري:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

د destination static برخه مهمه ده۔ که یې پرېږدئ، قاعده پراخه ژباړه کېږي چې کېدای شي له موخې څخه ډېر ټرافیک سره سمون وکړي، او په ترتیب کې دمخه راغلې پراخه identity قاعده کولای شي دا په بشپړه توګه مات کړي۔ مخکې له دې چې فکر وکړئ ستاسو قاعده سمون کوي، show nat detail او د برخو ترتیب وګورئ۔

د انټرفیس PAT هم دا مانا لري چې ملګری د ASA د انټرفیس پته ویني، کومه چې پورته بیا ژباړل کېدای شي۔ که قرارداد پته نوموي، هغه له سره تر سره تایید کړئ نه په یو ټوپ۔

په سمه ازموینه هدف یې ثابته کړئ

د عمومي what-is-my-ip پاڼې پرځای پخپله ملګری هوسټ وکاروئ۔ هغه پاڼه نږدې یقیني split لیست څخه بهر ده، نو ستاسو محلي انټرنیټ پته راپور کوي او د دې لارې په اړه هیڅ نه وایي۔ ملګري خدمت ته نوی اړیکه پرانیزئ او وپوښتئ کومه سرچینه یې لیدلې، یا packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed وچلوئ او د NAT او لارښوونې پړاوونه کرښه په کرښه ولولئ۔ له کلاینټ څخه traceroute کمزورې څیړنه ده، ځکه هغه لاره ښیي چې لا دمخه شوې، نه هغه پالیسي چې غوره کړې یې ده۔

بیا وګورئ څه باید ونه بدل شي۔ یو عادي وېبسایټ باید لا هم له محلي اړیکې ووځي، او په ټنل لیست کې یو خصوصي سرچینه باید لا هم د لاسرسي وړ وي۔ هغه بدلون چې ملګری سم کړي او له دې دوو یو مات کړي، بله تېروتنه ده۔

د دې ډیزاین کاري بڼه لنډه ده: په split ACL کې یو هوسټ، hairpin اجازه، د هدف په حد محدود یوه PAT قاعده۔ په کیسه کې نور هر څه افسانه ده۔