ස්ප්ලිට් ටනල් එකක් පොදු සත්කාරකයක් ASA හි NAT නීතිවලින් නිදහස් නොකරයි

split-include මාර්ගයක් පොදු සත්කාරකයක් ටනලයට ඇද දමයි, එහිදී ASA හෙයාර්පින් කර මූලාශ්‍රය පරිවර්තනය කළ යුතුය. දෙකෙන් එක් පියවරක් හෝ මඟ හැරියොත් ප්‍රවාහය බිඳ වැටේ.

ස්ප්ලිට් ටනලින් සාමාන්‍යයෙන් විස්තර කරන්නේ ආයතනික රථවාහන ටනලය තුළත් අනෙක් අන්තර්ජාලය ෆයර්වෝලයෙන් පිටතත් තබා ගැනීමේ ක්‍රමයක් ලෙසය. එම විස්තරයේ දෙකොටසම එකම ආකාරයෙන් වැරදිය. ස්ප්ලිට් ටනලින් යනු සේවාලාභියා ගන්නා මාර්ග තීරණයකි, සහ මාර්ග තීරණයක් පැකට්ටුව headend වෙත ළඟා වූ පසු එයට සිදුවන්නේ කුමක්ද යන්න ගැන කිසිවක් නොකියයි.

ඔබේ මූලස්ථානයේ ලිපිනය බැලීමට අවශ්‍ය යැයි අවධාරණය කරන පොදු ලිපිනයක එක් හවුල්කාර සේවාවක් මෙම කතාව බිඳ දැමීමට ප්‍රමාණවත්ය.

මිථ්‍යාව: ස්ප්ලිට් ටනල් ෆයර්වෝලය මාර්ගයෙන් ඉවත් කරයි

පෞද්ගලික පරාසවලින් පිටත ඕනෑම ගමනාන්තයක් දේශීය අන්තර්ජාල සම්බන්ධතාවයේම රැඳී ඇති බවත්, එබැවින් ෆයර්වෝලය එය කිසිදා නොදකින බවත් ඒ සඳහා කිසිදා නීතියක් අවශ්‍ය නොවන බවත් යන විශ්වාසයයි. ගමනාන්තය ටනල් ලැයිස්තුවේ නොමැති තාක් පමණක් මෙය සත්‍ය වේ. ක්‍රියාකරුවෙකු පොදු සත්කාරකයක් split-include ACL වෙත එකතු කරන මොහොතේ සේවාලාභියා එම රථවාහන ටනලයට යවයි, සහ ASA එය වෙනත් ඕනෑම විග්‍රහ කළ ප්‍රවාහයක් මෙන් මාර්ගගත කර, පෙරහන් කර, පරිවර්තනය කළ යුතුය. සේවාලාභියා තුළ ගමනාන්ත ලැයිස්තුව හැර වෙනත් කිසිවක් වෙනස් වී නැත.

සේවාලාභියා රවුටරයක් බවට පත් නොවීය. ඔහු ඔබ දුන් ප්‍රතිපත්තිය අනුගමනය කළේය.

split-include මාර්ගයක් ඇත්තටම කරන්නේ කුමක්ද

Cisco ASA දුරස්ථ ප්‍රවේශ සැකසුමක කණ්ඩායම් ප්‍රතිපත්තිය split-tunnel-policy tunnelspecified සහ සම්මත ACL එකක් නම් කරන split-tunnel-network-list දරයි. එම ACL හි සෑම permit පේළියක්ම සේවාලාභියා ටනලයට යැවිය යුතු ගමනාන්තයකි, අනෙක් සියල්ල දේශීය පෙරනිමි මාර්ගය භාවිත කරමින් සිටී.

එක් සත්කාරකයක් එකතු කිරීම එක් පේළියකි, සහ එය සේවාලාභියාට දැකිය හැකි වෙනසෙහි එකම කොටසයි: access-list RA-SPLIT standard permit host 203.0.113.20.

ඊට පසු සේවාලාභියා නැවත සම්බන්ධ කරන්න. ප්‍රතිපත්තිය සම්බන්ධ වන විට හුවමාරු වේ, එබැවින් ස්ථාපිත සැසිය පැරණි ලැයිස්තුව රඳවා ගන්නා අතර වෙනස කිසිවක් නොකළාක් මෙන් පෙනේ.

පැකට්ටුව එකම අතුරුමුහුණතින් ඇතුළු වී පිටවේ

දැන් විග්‍රහයෙන් පසු ප්‍රවාහය අනුගමනය කරන්න. පැකට්ටුව VPN ටනලය හරහා පිටත අතුරුමුහුණතට ඇතුළු විය, එහි ගමනාන්තය පොදු ලිපිනයකි, සහ මාර්ගගත කිරීමේ වගුව එය එම පිටත අතුරුමුහුණතින්ම නැවත අන්තර්ජාලය දෙසට යවයි. එක් අතුරුමුහුණතකින් ඇතුළු වී පිටවන රථවාහන ASA ට අවසර දෙන තෙක් ඉවත දමනු ලැබේ, සහ same-security-traffic permit intra-interface කරන්නේ එයයි. එය නොමැතිව සම්බන්ධතාවය මාර්ගගත කිරීමේ ගැටලුවක් මෙන් පෙනෙන නමුත් එසේ නොවන ආකාරයකින් අසාර්ථක වේ.

එම සැකසුම ගෝලීයය. එය අවශ්‍ය සෑම ප්‍රවාහයකටම හෙයාර්පිනින් අවසර දෙයි, මෙම හවුල්කාර සත්කාරකයට පමණක් නොව, එබැවින් එය ඉක්මන් පරීක්ෂණයකට නොව සමාලෝචිත වෙනසකට අයත් වේ.

ගමනාන්තයෙන් සීමිත PAT අනිවාර්ය වන්නේ ඇයි

විග්‍රහ කළ පැකට්ටුවේ මූලාශ්‍ර ලිපිනය තවමත් සේවාලාභියාගේ VPN ලිපිනයයි, සාමාන්‍යයෙන් 10.77.0.0/24 වැනි තටාකයකින්. එම ලිපිනයට පොදු අන්තර්ජාලයේ මාර්ගයක් නොමැත, එබැවින් හවුල්කරු කිසිදා පිළිතුරු නොදෙයි හෝ කොහේවත් පිළිතුරු නොදෙයි.

පරිවර්තනය මූලාශ්‍රය නිවැරදි කර ගමනාන්තය නොසැලකිලිමත්ව තබයි. වස්තූන් දැනටමත් වෙනත් තැනක අර්ථ දක්වා ඇති බැවින්, මෙම ගමනාන්තයට සීමිත අත්පොත නීතියකට මෙම ස්වරූපය ඇත:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

destination static කොටස වැදගත්ය. එය ඉවත් කළහොත් නීතිය අදහස් කළ ප්‍රමාණයට වඩා බොහෝ රථවාහන සමඟ ගැළපිය හැකි පුළුල් පරිවර්තනයක් බවට පත් වේ, සහ අනුපිළිවෙලින් කලින් ඇති පුළුල් identity නීතියකට මෙය සම්පූර්ණයෙන් පරාජය කළ හැක. ඔබේ නීතියම ගැළපෙන එක යැයි උපකල්පනය කිරීමට පෙර show nat detail සහ කොටස්වල අනුපිළිවෙල පරීක්ෂා කරන්න.

අතුරුමුහුණත් PAT යන්නෙන් අදහස් වන්නේ හවුල්කරු ASA හි අතුරුමුහුණත් ලිපිනය දකින බවයි, එය ඉහළින් නැවත පරිවර්තනය විය හැක. ගිවිසුම ලිපිනයක් නම් කරන්නේ නම්, එය එක් පිම්මකින් නොව මුල සිට අග දක්වා තහවුරු කරන්න.

නිවැරදි පරීක්ෂණ ගමනාන්තය සමඟ එය ඔප්පු කරන්න

සාමාන්‍ය what-is-my-ip පිටුවක් නොව හවුල්කාර සත්කාරකයම භාවිත කරන්න. එම පිටුව බොහෝ විට split ලැයිස්තුවෙන් පිටතය, එබැවින් එය ඔබේ දේශීය අන්තර්ජාල ලිපිනය වාර්තා කරන අතර මෙම මාර්ගය ගැන කිසිවක් නොකියයි. හවුල්කාර සේවාවට නව සම්බන්ධතාවයක් විවෘත කර ඔවුන් නිරීක්ෂණය කළ මූලාශ්‍රය කුමක්දැයි අසන්න, නැතහොත් packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed ධාවනය කර NAT සහ මාර්ගගත කිරීමේ අදියර පේළියෙන් පේළිය කියවන්න. සේවාලාභියාගෙන් traceroute දුර්වල පරීක්ෂාවකි, එය දැනටමත් සිදු වූ මාර්ගය පෙන්වන බැවින්, එය තෝරා ගත් ප්‍රතිපත්තිය නොවේ.

පසුව වෙනස් නොවිය යුතු දේ පරීක්ෂා කරන්න. සාමාන්‍ය වෙබ් අඩවියක් තවමත් දේශීය සම්බන්ධතාවයෙන් පිටවිය යුතු අතර, ටනල් ලැයිස්තුවේ ඇති පෞද්ගලික සම්පතක් තවමත් ළඟා විය හැකි විය යුතුය. හවුල්කරු සකසා මෙම දෙකෙන් එකක් බිඳ දමන වෙනස වෙනත් දෝෂයකි.

මෙම නිර්මාණයේ ක්‍රියාකාරී අනුවාදය කෙටිය: split ACL හි එක් සත්කාරකයක්, හෙයාර්පින් අවසරය, ගමනාන්තයෙන් සීමිත එක් PAT නීතියක්. කතාවේ ඉතිරි සියල්ල මිථ්‍යාවයි.

අදාළ ලිපි