VPN ගමනාගමනය සඳහා ASA identity NAT සහ IOS NAT ව්‍යතිරේකය

ශාඛාවක් එකම Cisco ගේට්වේ මත අන්තර්ජාල PAT සහ අඩවි-සිට-අඩවි VPN ධාවනය කරයි, සහ NAT එකතු කළ මොහොතේම VPN ක්‍රියා කිරීම නවත්වයි. උමං තුළ ඇති ලිපින crypto ACL ආරක්ෂා කරන දෙයට තවදුරටත් නොගැළපේ, නැතහොත් ප්‍රතිවාදී පාර්ශ්වයට මාර්ගයක් නොමැති පරිවර්තිත ලිපින දකී. Cisco මෙය ස්ථාන දෙකක විසඳයි: ASA ලිපිනය එයටම සිතියම් කරන NAT නීතියක් තෝරයි, IOS ආකාරයෙන් ACL තුළ deny මගින් ප්‍රවාහය පරිවර්තන නීතියෙන් පිටත තබයි. දෙකම මුල් ලිපින රඳවා ගනී, සහ කිසිවක් NAT සැකසීම මඟ හරින්නේ නැත.

නීතියක් තෝරා ගැනීමට පෙර ප්‍රවාහය සටහන් කරන්න

ආරක්ෂා කිරීමට බලාපොරොත්තු වන ප්‍රවාහය ලිවීමෙන් ආරම්භ කරන්න: දේශීය LAN මූලාශ්‍රය, දුරස්ථ ගමනාන්තය සහ IPsec ප්‍රතිපත්තිය ආරක්ෂා කරන නිශ්චිත ලිපින යුගලය. නීතිය සංස්කරණය කිරීමට පෙර මෙය කරන්න, මන්ද මෙම කුට්ටිය කුමන වර්ගීකරණයක් හෝ NAT නීතියක් ගැළපිය යුතුව තිබුණිද යන්න පෙන්වයි.

පසුව ඔබ අදහස් කළ නීතිය නොව සැබවින්ම ගැළපුණු නීතිය සොයන්න. දෙකොටසේම NAT යම් අනුපිළිවෙලකට ඇගයේ, සහ ඔබේ ව්‍යතිරේකය සලකා බැලීමට පෙර කලින් නීතියක් දිනා ගත හැක. නිවැරදි ලෙස පෙනෙන නමුත් වෙනත් නීතියකට පරාජය වන ව්‍යතිරේකයක් කිසිදා අපේක්ෂිත පැකැට්ටුව ආරක්ෂණ ප්‍රතිපත්තියට භාර නොදෙයි. රෝග ලක්ෂණය ව්‍යතිරේකයක් නොමැති විට මෙන්ම වේ, එබැවින් වින්‍යාසය වෙනස් කිරීමට පෙර නීති අනුපිළිවෙල කියවිය යුතුය.

ASA identity NAT යනු නීතියකි, මඟ හැරීමක් නොවේ

ASA තුළ identity NAT යනු පරිවර්තිත ලිපිනය මුල් ලිපිනයට සමාන වන NAT නීතියකි. එය වෙනත් ඕනෑම නීතියක් මෙන් තෝරනු ලබන අතර තවමත් පරිවර්තන සටහනක් ස්ථාපනය කරයි, එබැවින් පැකැට්ටුව NAT සැකසීම මඟ නොහරියි. වෙනස් වන්නේ ජාලයේ ලිපින එලෙසම පවතින බවයි, සහ IPsec ප්‍රතිපත්තියට අවශ්‍ය වන්නේ එයයි.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

නීතියේ අතුරුමුහුණත් සහ එහි route-lookup සැකසුම යැවීමේ නිර්මාණයට ගැළපිය යුතුය. ලිපිනය නිවැරදිව සිතියම් කරන නමුත් වැරදි අතුරුමුහුණත් යුගලයට යෙදෙන නීතියක් ඔබේ ප්‍රවාහයට තෝරා නොගනු ඇත. Route-lookup තීරණය කරන්නේ පරිවර්තිත පැකැට්ටුව මාර්ගගත වේද නැතහොත් මුල් ගමනාන්තය භාවිත වේද යන්නයි, සහ එයින් ආපසු ගමනාගමනය උමං හරහා එනවාද යන්න තීරණය වේ.

ASA වෙතම කළමනාකරණ ප්‍රවේශය වෙනම අවස්ථාවකි. කළමනාකරණ ගමනාගමනයට identity NAT භාවිත කරන්නේ නම්, නිකුතුවට අදාළ route-lookup අවශ්‍යතාව බලපායි, සහ VPN උදාහරණයකින් පිටපත් කළ පුළුල් ව්‍යතිරේකයක් SSH නිවැරදි නොකරයි.

IOS NAT ACL තුළ deny යනු මෙහි තෝරා නැත

IOS තුළ අන්තර්ජාල NAT මූලාශ්‍ර ලැයිස්තුවකින් මෙහෙයවේ, සහ එම ACL පෙරහනක් නොව වර්ගීකරණයකි. Permit පේළිය පරිවර්තනය සඳහා ගමනාගමනය තෝරයි; deny පේළිය යනු පැකැට්ටුව මෙහි තෝරා නොගත් බවයි. එම deny අතුරුමුහුණත් ACL තුළ deny මෙන් පැකැට්ටුව ඉවතලීමේ අණක් නොවේ.

මෙහි තෝරා නොගැනීම කොතැනකවත් පරිවර්තනය නොවීමට වඩා පටුය. වෙනත් NAT නීතියක්, වෙනත් අතුරුමුහුණතක් හෝ route-map එකක් තවමත් ප්‍රවාහය පරිවර්තනය කළ හැක, එබැවින් සම්පූර්ණ NAT වගුව කියවිය යුතුය. පැකැට්ටුවට තවමත් මාර්ගයක්, ගැළපෙන crypto ACL එකක් සහ සැබෑ ප්‍රවේශ පාලන සීමාවන්හි අවසරයක් අවශ්‍යය.

අවම IOS සැකැස්ම deny එකම ලැයිස්තුවේ permit ට ඉහළින් තබා overload නීතිය එම ලැයිස්තුවට යොමු කරයි. එවිට crypto ACL deny පරිවර්තනයෙන් බැහැර කරන එම යුගලයම ආරක්ෂා කරයි.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

ආකෘති දෙකටම එක් පරීක්ෂා කළ හැකි ප්‍රශ්නයක්

ආකෘති දෙකම එකම ප්‍රශ්නයට පිළිතුරු දෙයි: මෙම ප්‍රවාහයට ගැළපුණේ කුමන නීතියද, සහ කුමන ලිපින අතුරුමුහුණතින් පිටව ගියේද? පිටත අතුරුමුහුණතේ ග්‍රහණය කර ගේට්වේට පෙර සහ පසු මූලාශ්‍ර ලිපිනය සසඳන්න. පසුව උමං ගැන ප්‍රතිවාදී පාර්ශ්වයේ දැක්ම පරීක්ෂා කරන්න, මන්ද SA සක්‍රීයව තිබියදී ආරක්ෂිත ප්‍රවාහය වෙනත් තැනක පරිවර්තනය විය හැක.

ASA තුළ nat detail සහ පරිවර්තන වගුව පෙන්වන්න; IOS තුළ ip nat translations සහ අදාළ ACL ගණන් පෙන්වන්න. කිසිදා නොවැඩෙන නීතියක් කිසිදා තෝරා නොගෙන ඇත, සහ එය crypto වින්‍යාසය නොව අනුපිළිවෙල, අතුරුමුහුණත හෝ දිශාව පෙන්වයි.

වින්‍යාසය සාමාන්‍යයෙන් වැරදි වන්නේ කොහේද

සාමාන්‍ය අසාර්ථකතා යාන්ත්‍රිකය. deny permit යටින් සිටින අතර කිසිදා නොගැළපේ. වර්ගීකරණය වැරදි දිශාවට යෙදේ, එබැවින් ආපසු ප්‍රවාහය පරිවර්තනය වේ. Identity නීතිය නිවැරදි ලිපින ආවරණය කරයි නමුත් වැරදි අතුරුමුහුණත් යුගලය. Crypto ACL දැන් NAT නීතිය ඉදිරිපත් කරන දෙයට නොගැළපෙන උපජාලයක් ආරක්ෂා කරයි.

මූලික සහ ඉදිරිපත් කළ ලිපින යුගලය නීතියේ හිමිකරු අසල සටහන් කරන්න, එවිට ඊළඟ ඉංජිනේරුවාට වර්ගීකරණය පරිවර්තනය ප්‍රතික්ෂේප කරන නමුත් firewall යෙදුමට ඉඩ දෙන ආකාරය පෙනෙනු ඇත. එය පුද්ගලික සටහනක නොව වෙනස්කම් ටිකට්පතේ තබන්න. පසුව ඕනෑම NAT වෙනසකින් පසු ප්‍රවාහය නැවත ධාවනය කරන්න, මන්ද නීතියේ පෙළ නොවෙනස් වුවද නීති අනුපිළිවෙල වින්‍යාසයේ කොටසකි. ඉහළ එන උමග ලිපින ඉතිරි වූ බවට සාක්ෂියක් නොවේ; ග්‍රහණය කළ පැකැට්ටුව සහ ප්‍රතිවාදී පාර්ශ්වයේ විකේතනයෙන් පසු දැක්ම පමණක් සාක්ෂියයි.