ASA hairpin: අන්තර්ජාල පිටවීමක් ද, නැතහොත් අඩවි-අඩවි VPN කකුලක් ද?

එකම ASA එක පිටුපස සිටින දුරස්ථ ප්‍රවේශ පරිශීලකයන් දෙදෙනෙකුට එකම බාහිර අතුරුමුහුණතින් රථවාහන යැවිය හැකි අතර සම්පූර්ණයෙන්ම වෙනස් ආකාරයෙන් සැලකිය හැක. එක් අයෙක් පොදු වෙබ් අඩවියකට යන නිසා පැකට්ටුවට මූලාශ්‍ර පරිවර්තනය සහ අන්තර්ජාල මාර්ගයක් අවශ්‍ය වේ. අනෙක් අය එම අතුරුමුහුණතේම අවසන් වන අඩවි-අඩවි උමං මාර්ගයක් පිටුපස ඇති සේවාදායකයකට යන නිසා පැකට්ටුවට අනන්‍යතාවය, ගැළපෙන උමං තේරීම්කරුවෙකු සහ සේවාදායක සමූහය වෙත ආපසු මාර්ගයක් අවශ්‍ය වේ. එකම අතුරුමුහුණත සඳහා අවසරය දෙකටම පූර්ව කොන්දේසියක් වන අතර කිසිවකට විසඳුමක් නොවේ.

කකුල් දෙකක්, එක් අතුරුමුහුණතක්

NAT රීතියක් ලිවීමට පෙර ඔබ ගොඩනඟන්නේ කුමන කකුලද යන්න තීරණය කරන්න, මන්ද රීති එකිනෙකට හුවමාරු කළ නොහැක. A කකුල සේවාදායකයාගේ සිට අන්තර්ජාලයටයි: සමූහයේ ලිපිනය ඇතුළට, පරිවර්තනය වූ පොදු ලිපිනය පිටතට, එම අතුරුමුහුණත හරහා ආපසු. B කකුල සේවාදායකයාගේ සිට තවත් IPsec සහකරුවෙකුගේ අනෙක් පස ඇති පෞද්ගලික උපසර්ගයකටයි: සමූහයේ ලිපිනය රැකෙන අතර, නැවත සංකේතනය වී සමූහයට පිළිතුරු දෙන ආකාරය දැනගත යුතු සහකරුවෙකුට භාර දෙනු ලැබේ.

දෙකටම මුලින්ම අවශ්‍ය වන්නේ එකම අතුරුමුහුණත සඳහා අවසරයයි. එය නොමැතිව ASA පැකට්ටුව පැමිණි අතුරුමුහුණතින් ඉදිරියට යැවීම ප්‍රතික්ෂේප කරන අතර, අසාර්ථකත්වය ප්‍රතිපත්ති ගැටලුවක් නොව මාර්ගගත කිරීමේ ගැටලුවක් ලෙස පෙනේ:

same-security-traffic permit intra-interface

එම එක් පේළියක් ඉදිරියට යැවීමේ සැකැස්මකට අවසර දෙයි, එය ASA NAT යොමුව එකම අතුරුමුහුණත හරහා යන මාර්ග සඳහා විස්තර කරයි. එය සේවාදායක මාර්ගයක් එකතු නොකරයි, සම්පත් අවසර නොදෙයි, ලිපිනයක් පරිවර්තනය නොකරයි හෝ IPsec තේරීම්කරුවෙකු සමඟ සාකච්ඡා නොකරයි, එබැවින් ඉන් පසු තවත් කරුණු තුනක් හෝ හතරක් එකතු කරනු ඇතැයි බලාපොරොත්තු වන්න, එහි පිළිගැනීම ප්‍රගතියක් ලෙස නොකියවන්න.

A කකුල: සේවාදායකයාට අන්තර්ජාලය අවශ්‍යයි

අන්තර්ජාල පිටවීමක් සඳහා පැකට්ටුව උපාංගය හැර යාමට පෙර සමූහයේ ලිපිනය පෞද්ගලික වීම නැවැත්විය යුතුය. සාමාන්‍ය PAT නිර්මාණයක රීතිය සමූහය බාහිර අතුරුමුහුණතේ ලිපිනයට පරිවර්තනය කරයි, සහ ආපසු තත්ත්වය සේවාදායකයා දෙසට ගලා යාම නැවත ස්ථාපිත කරයි:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

පසුව සේවාදායකයා ඇත්තටම එම රථවාහන රැගෙන යාමට ASA වෙත ඉල්ලා ඇත්දැයි තහවුරු කරන්න. බෙදුණු උමං බැහැර කිරීමක් පොදු ගමනාන්තය දුරකථනයේම සම්බන්ධතාවය හරහා යවයි, එය ASA වෙත කිසිවිටෙක නොපැමිණේ, සහ කිසිවිටෙක නොයවන ලද පැකට්ටුවක් කිසිදු NAT රීතියක් නිවැරදි නොකරයි. සමූහ ප්‍රතිපත්තියේ බෙදුණු උමං ලැයිස්තුව ඔබ පරීක්ෂා කරන ගමනාන්තය සමඟ සසඳන්න.

කකුලේ ඉතිරිය සාමාන්‍යයි: බාහිර අතුරුමුහුණතින් භාවිත කළ හැකි පෙරනිමි හෝ නිශ්චිත මාර්ගය, ගලා යාමට අවසර දෙන ප්‍රවේශ ප්‍රතිපත්තිය, සහ ඔබ තෝරාගත් විසඳන්නා ප්‍රතිපත්තිය අනුව හසුරුවන DNS. මෙහි route-lookup පහත පරිදිම එකම හේතුව නිසා එකතු කරන්න, මන්ද ඇතුළු වීමේ සහ පිටවීමේ අතුරුමුහුණත් සමාන වේ.

B කකුල: සේවාදායකයාට පෞද්ගලික අඩවියක් අවශ්‍යයි

මෙම කකුල වැඩි තැන්වල අසාර්ථක වේ, එබැවින් එය පිළිවෙලට ලියන්න. මුලින්ම සේවාදායක මාර්ගය: ගමනාන්ත උපසර්ගය බෙදුණු උමං ලැයිස්තුවේ තිබිය යුතුය, නැතහොත් සේවාදායකයා එය උමං මාර්ගයට නොදමයි. දෙවනුව උමං තේරීම්කරු: අඩවි-අඩවි සංකේත ACL සමූහ ලිපිනයේ සිට දුරස්ථ උපසර්ගය දක්වා ආවරණය කළ යුතුය, ස්ථානීය LAN සිට දුරස්ථ උපසර්ගය දක්වා පමණක් නොවේ. තෙවනුව අනන්‍යතාවය, එවිට සමූහයේ ලිපිනය මාර්ගයේදී අන්තර්ජාල PAT එකට පරිවර්තනය නොවේ.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

දුරස්ථ පැත්ත යනු මිනිසුන් පරීක්ෂා කිරීමට අමතක කරන කොටසයි. සහකරුට සමූහය වෙත ආපසු මාර්ගයක් සහ එය ඇතුළත් තේරීම්කරුවෙකු අවශ්‍ය වන අතර, එහිම ප්‍රතිපත්තිය එය දකින මූලාශ්‍ර ලිපිනවලට අවසර දිය යුතුය. අඩවිය ඒ වෙනුවට පරිවර්තිත දසුනක් හරහා භාවිත කරන්නේ නම්, එය වලංගු නිර්මාණයකි, නමුත් එවිට සහකරුවන් දෙදෙනාම, තේරීම්කරුවන් දෙදෙනාම සහ මාර්ග වගු දෙකම පරිවර්තිත ලිපින ගැන එකඟ විය යුතුය.

රීති අනුපිළිවෙල ද පරීක්ෂා කරන්න. අනන්‍යතා රීතියට ඉහළින් ඇති පුළුල් PAT රීතියක් අනන්‍යතා රීතිය ඇගයීමට ලක් වීමටත් පෙර පෞද්ගලික හුවමාරුව පරිවර්තනය කරනු ඇත, සහ ලක්ෂණය NAT දෝෂයක් නොව ගැළපෙන SA නොමැති අඩවි උමං මාර්ගයක් වේ.

ඔබ ගොඩනැගූ කකුල කුමක්දැයි කියන පරීක්ෂණය

වින්‍යාසය කියවා බලාපොරොත්තු වනවා වෙනුවට ASA හිම මාර්ග ඇගයීම භාවිත කරන්න. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed එක් ගලා යාමක් සඳහා NAT තීරණය, මාර්ගය සහ ACL ප්‍රතිඵලය පෙන්වයි; පෞද්ගලික ගමනාන්තයක් සමඟ එය නැවත කරන්න. NAT අදියර පෞද්ගලික-සිට-පෞද්ගලික ගලා යාමක් නැවත ලියන්නේ නම්, B කකුල අවශ්‍ය වූ පැකට්ටුවක් සඳහා ඔබ A කකුල ගොඩනැගුවා.

තවත් අණ දෙකක් පරතරය වසයි. show nat detail packet-tracer අනුගමනය කළ රීති අනුපිළිවෙල මුද්‍රණය කරයි, සහ show crypto ipsec sa ඔබ බලාපොරොත්තු වන යුගලය සඳහා තේරීම්කරුවෙකු තිබේදැයි පෙන්වයි. නැති වූ SA යනු තේරීම්කරු හෝ සහකරු වින්‍යාස ගැටලුවකි, NAT රීතියට නිවැරදි කළ හැකි දෙයක් නොවේ.

සෑම කකුලක්ම එය සේවය කරන රථවාහන සමඟ සත්‍යාපනය කරන්න

A කකුල සේවාදායකයාගේ සාමාන්‍ය පොදු ඉල්ලීමකින් පිළිගන්න, සහ B කකුල ඇත්තටම පවතින පෞද්ගලික සම්පතකට ඉල්ලීමකින් පිළිගන්න. පසුව එක් එක් එක ප්‍රතික්ෂේපිත සම්පතක් සමඟ නැවත කරන්න, මන්ද “අවසර දී ඇත” සහ “ප්‍රවේශ ප්‍රතිපත්තියෙන් අනුමත කර ඇත” එකම සාක්ෂිය නොවන අතර, කේන්ද්‍රයෙන් නැගෙන ping සේවාදායක මාර්ග දෙකෙන් කිසිවක් පුහුණු නොකරයි.

ටිකට්පතේ පරීක්ෂණ වාර්තා දෙක වෙන් වෙන්ව තබන්න: මූලාශ්‍ර ලිපිනය, ගමනාන්තය, ගැළපුණු NAT රීතිය සහ ප්‍රතිඵලය. ඊළඟ වාර්තාව “VPN කැඩී ඇත” යැයි කියන විට, එම යුගලය විනාඩියක් තුළ ඔබට කියනු ඇත කුමන කකුල පසුබට වී ඇත්දැයි, සහ පිළිතුර සාමාන්‍යයෙන් මාර්ගයක් හෝ තේරීම්කරුවෙකි, සියල්ලෝ මුලින්ම සැක කරන එකම-අතුරුමුහුණත පේළිය නොවේ.