ASA VPN hairpin: එක් අතුරුමුහුණතක් හරහා උමං දෙකක් යොමු කිරීම

දුරස්ථ පරිශීලකයාගේ ගමන් වාහනය පැමිණි එකම ASA අතුරුමුහුණත හරහා පිටවිය හැක, නමුත් hairpin අවසරය, උමං පරාසය, NAT සහ ACL යනු වෙනස් තීරණ හතරකි.

දුරස්ථ පරිශීලකයෙකු ASA වෙත සම්බන්ධ වී ශාඛාවක පිටුපස ඇති සත්කාරකයක් ඉල්ලා සිටින අතර, ASA එම ඉල්ලීම පරිශීලකයා පැමිණි එකම අතුරුමුහුණත හරහාම පිටතට යවයි. එයින් කිසිවකට දෙවන භෞතික වරායක් අවශ්‍ය නොවේ. අවශ්‍ය වන්නේ ස්වාධීන තීරණ හතරකි; මිනිසුන් ඒවා එකකට එකතු කිරීමට නැඹුරු වේ: hairpin කිරීමට අවසරය, නිවැරදි ලිපින ආරක්ෂා කරන උමං, ඔබ පොරොන්දු වූ මූලාශ්‍රය රඳවා ගන්නා NAT ප්‍රතිපත්තිය, සහ සේවාව බලගන්වන ප්‍රවේශ ප්‍රතිපත්තිය.

එක් පැකට්ටුවක්, උමං දෙකක්

ප්‍රවාහය අනුගමනය කරන්න, ක්‍රියාවල අනුපිළිවෙල අභිරහස් නොවේ. පැකට්ටුව දුරස්ථ ප්‍රවේශ උමං තුළට පැමිණ විකේතනය වී, සේවා ලැයිස්තුවෙන් මූලාශ්‍රය ගන්නා සාමාන්‍ය IP පැකට්ටුවක් බවට පත්වේ. පසුව ASA එය යොමු කර, ස්ථානයේ සිට ස්ථානයට crypto ACL සමඟ ගැලපී, නැවත සංකේතනය කර පිටත අතුරුමුහුණත හරහා ශාඛාව දෙසට යවයි.

පහත ලිපින නිදර්ශනාත්මකය, නමුත් හැඩය වැදගත්: මූලාශ්‍රය වන්නේ සේවා ලැයිස්තුවයි, ASA හි අභ්‍යන්තර LAN නොවේ.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

මෙයින් කරුණු දෙකක් අනුගමනය කරයි. පරිශීලකයාට තම දුරස්ථ ප්‍රවේශ සම්බන්ධතාව හරහා ශාඛා උපසර්ගයට මාර්ගයක් අවශ්‍ය වන බැවින් split-tunnel හෝ තල්ලු කරන ලද මාර්ග ලැයිස්තුවට එය ඇතුළත් විය යුතුය. තවද ශාඛාවට ගමන් වාහනය 10.77.0.20 වෙත හෝ ඔබේ NAT නිර්මාණය විසින් ආදේශ කළ ලිපිනය වෙත ආපසු යවන ආකාරය දැනගත යුතුය.

hairpin අවසරය ගෝලීයය

මිනිසුන් අතට ගන්නා විධානය same-security-traffic permit intra-interface වේ. එය ගමන් වාහනයට එකම අතුරුමුහුණතට ඇතුල් වී පිටවීමට ඉඩ දෙන අතර, මෙම මාර්ගයට අවශ්‍ය වන්නේ එයයි. එය ගෝලීය සැකසුමක් ද වේ: එය සක්‍රීය කිරීම එකම අතුරුමුහුණත දෙවරක් තරණය කරන වෙනත් ප්‍රවාහවල හැසිරීම වෙනස් කරයි.

එබැවින් එය දෝෂ නිරාකරණ සැසියකට නොව වෙනස්කම් වාර්තාවකට අයත් වේ. උපාංගයේ තවත් කුමක් දැන් එකම අතුරුමුහුණතේ මාර්ගය ගත හැකිද, ඒවායින් කිසිවක් ගත යුතුදැයි අසන්න. අමුත්තන්ගේ ජාල හෝ එකිනෙක මතට ගැලපෙන හවුල්කාර උමං සහිත කාර්යබහුල කෙළවරක පිළිතුර ස්වයංක්‍රීයව නැත නොවේ. හේතුව සැකසුම අසල ලියන්න, මන්ද ඊළඟ ඉංජිනේරුවාට විධානය හමුවේ, සංවාදය නොවේ.

ආරක්ෂණ පරාසය සහ NAT වෙන් වේ

ස්ථානයේ සිට ස්ථානයට උමං එහි crypto ACL තෝරන දෙය ආරක්ෂා කරයි. එම ACL මූලාශ්‍රය ලෙස ASA හි අභ්‍යන්තර උපජාලය නම් කරන්නේ නම්, දුරස්ථ ප්‍රවේශ සේවා ලැයිස්තුව ආරක්ෂිත නොවන අතර පැකට්ටුව ඉවත් කරනු ලැබේ හෝ නොගැලපෙන ගමන් වාහන සඳහා වේදිකාවේ හැසිරීම අනුව විවෘතව යවනු ලැබේ. නිර්මාණය සේවා ලැයිස්තුවේ ලිපින රඳවා ගන්නා විට එය ආරක්ෂිත ප්‍රවාහයට එකතු කරන්න.

පසුව NAT තීරණය කරන්නේ සේවා ලැයිස්තුවේ ලිපිනය ඉතිරි වේද යන්නයි. Identity NAT එය රඳවා ගන්නා අතර ශාඛාව 10.77.0.20 මූලාශ්‍රය ලෙස දකී. පරිවර්තනය ගිවිසුම වෙනස් කරයි: ශාඛාව දැන් පරිවර්තිත ලිපිනයට ගමන් වාහනය ආපසු යවන අතර එහිම ප්‍රතිපත්තිය එය පිළිගත යුතුය. රීති අනුපිළිවෙල තීරණය කරන්නේ crypto ACL පරිවර්තනයට පෙරද පසුවද ගැලපෙන්නේ ද යන්නයි, එබැවින් කවරක් ජය ගනීදැයි උපකල්පනය නොකර සැබෑ ප්‍රවාහය කියවන්න.

එක් සංක්‍රමණ අවස්ථාවක් ක්‍රියා කිරීමට සාමාන්‍ය අන්තර්ජාල PAT රීති මකන්න එපා. ඉලක්කගත ව්‍යතිරේකයක් හෝ හිතාමතා සකසන ලද identity රීතියක් පිටවන ප්‍රතිපත්තියේ සිදුරක් තැබීමට වඩා පැහැදිලි කිරීමට හා ආපසු හැරවීමට පහසුය.

සංකේතනය අවසරයක් නොවේ

ක්‍රියා කරන උමං ඔප්පු කරන්නේ පාර්ශ්ව දෙකක් යතුරු සහ තෝරක මත එකඟ වන බව පමණි. මෙම පරිශීලකයාට එම සේවාවට ළඟා විය හැකිද යන්න ගැන එය කිසිවක් නොකියයි. දුරස්ථ ප්‍රවේශ සම්බන්ධතාවට සම්බන්ධ VPN පෙරහන හෝ කණ්ඩායම් ප්‍රතිපත්තිය තවමත් ශාඛා ගමනාන්තය සහ වරායට අවසර දිය යුතු අතර, පිටත මාර්ගයේ අතුරුමුහුණත ACL තවමත් අදාළ වේ.

පිළිතුර දිශා දෙකෙන්ම පරීක්ෂා කරන්න. අසල්වැසි සේවාවක් අසාර්ථක විය යුතු අවස්ථාවේ සාර්ථක වන සම්බන්ධතාවක් එක් සාර්ථක ping එකකට වඩා තොරතුරු සපයයි, මන්ද එයින් පෙනෙන්නේ ප්‍රතිපත්තිය සම්පූර්ණයෙන් විවෘත නොව තෝරාගත් එකක් බවයි. තහනම් කළ යුතු පරීක්ෂණය සාර්ථක වුවහොත් වරද උමං නොවේ; ප්‍රතිපත්තියයි. ප්‍රතිඵල දෙකම වෙනස්කම් වාර්තාවේ තබන්න, ඊළඟ පුද්ගලයාට කුමන හැසිරීම අදහස් කළේදැයි දැනගැනීමට.

hairpin ද නැතහොත් දෙවන අතුරුමුහුණතක් ද

hairpin සංක්‍රමණය නිර්මාණය කුඩාවට තබා එක් ගෝලීය සැකසුමක් පමණක් වැය කරයි. වෙනම අතුරුමුහුණතක් හෝ තමන්ගේම අතාත්වික අතුරුමුහුණතක් සහිත මාර්ග පාදක උමං, සංක්‍රමණ මාර්ගය හුදකලා කර ඔබට අතුරුමුහුණතකට ප්‍රතිපත්තියක් ලබා දෙයි, ලිපිනකරණය සහ තවත් crypto map එකක් හෝ පැතිකඩක් වැය වෙනුවට. කිසිවක් වඩාත් නිවැරදි නොවේ; ඒවා වෙනස් ලෙස අසාර්ථක වේ.

මාර්ග පාදක නිර්මාණ වෙනත් සැකැස්මකි, එකම වින්‍යාසයේ ඇති සලකුණු මිටියක් නොවේ. ඔබ එවැන්නකට මාරු වුවහොත්, ඉහත ප්‍රතිපත්ති පාදක crypto ACL සාකච්ඡාව අදාළ නොවීම නතර වන අතර මාර්ග සටහන තේරීමේ කාර්යය කිරීම ආරම්භ කරයි.

සැබෑ සේවාදායකයාගෙන් සත්‍යාපනය කරන්න

ASA වෙතින් ආරම්භ කරන ලද සොයා බැලීමකට වෙනස් මූලාශ්‍ර ලිපිනයක් ඇති අතර එය සේවා ලැයිස්තුවේ සිට ශාඛාව දක්වා මාර්ගය පුහුණු නොකරයි. පස්-අංගය පරීක්ෂා කිරීමට packet-tracer භාවිත කර, පසුව සැබෑ දුරස්ථ සේවාදායකයාගෙන් සැබෑ සම්බන්ධතාවක් විවෘත කරන්න, මන්ද නිරීක්ෂකයා අනුකරණය කරන අතර සේවාදායකයාගේම මාර්ග සැකසීම සහ ප්‍රතිපත්තිය ප්‍රතිස්ථාපනය නොකරයි.

සැලසුම් කළ වෙනසකින් පසු ක්‍රියා කළ යුතු සේවාවකට සම්බන්ධ වන්න, පසුව ප්‍රතික්ෂේප විය යුතු සේවාවකට, පසුව ශාඛාවේ ආපසු මාර්ගය තහවුරු කරන්න. Cisco හි VPN hairpin NAT උදාහරණ intra-interface අවසරය, NAT සහ ACL දෘශ්‍යමාන ලෙස වෙන් කර තබන අතර, එය පිටපත් කිරීමට වටිනා මානසික ආකෘතියයි.

අදාළ ලිපි