Identity NAT v ASA verzus výnimka NAT v IOS pre prevádzku VPN

Na bránach Cisco zachovávajú adresy VPN tak identity NAT v ASA, ako aj výnimka klasifikátora NAT v IOS. Pravidlá sa líšia v tom, kde sa preklad preskakuje.

Pobočka prevádzkuje internetový PAT a VPN typu site-to-site na tej istej bráne Cisco a VPN prestane fungovať v okamihu, keď sa pridá NAT. Adresy v tuneli už nezodpovedajú tomu, čo chráni crypto ACL, alebo protistrana vidí preložené adresy, pre ktoré nemá trasu. Cisco to rieši na dvoch miestach: ASA vyberá pravidlo NAT, ktoré mapuje adresu na seba samú, zatiaľ čo IOS drží tok mimo pravidla prekladu pomocou deny v ACL. Obe zachovávajú pôvodné adresy a ani jedno nie je obchádzaním spracovania NAT.

Najprv zapíšte tok, potom vyberajte pravidlo

Začnite zapísaním toku, ktorý chcete chrániť: zdroj v lokálnej LAN, vzdialený cieľ a presná dvojica adries, ktorú chráni politika IPsec. Urobte to pred úpravou pravidla, pretože táto množina ukazuje, ktorý klasifikátor alebo pravidlo NAT malo zodpovedať.

Potom nájdite pravidlo, ktoré skutočne zodpovedalo, nie to, ktoré ste zamýšľali. Na oboch platformách sa NAT vyhodnocuje v poradí a skoršie pravidlo môže vyhrať skôr, než sa zohľadní vaša výnimka. Výnimka, ktorá vyzerá správne, ale prehrá s iným pravidlom, nikdy neodovzdá očakávaný paket ochrannej politike. Príznak je rovnaký ako pri chýbajúcej výnimke, preto treba pred zmenou konfigurácie prečítať poradie pravidiel.

Identity NAT v ASA je pravidlo, nie obchádzanie

V ASA je identity NAT pravidlo NAT, ktorého preložená adresa sa rovná pôvodnej. Vyberá sa ako každé iné pravidlo a stále inštaluje záznam prekladu, takže paket neobchádza spracovanie NAT. Mení sa to, že adresy v sieti zostávajú rovnaké, a to politika IPsec potrebuje.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Rozhrania pravidla a jeho nastavenie route-lookup musia zodpovedať návrhu preposielania. Pravidlo, ktoré mapuje adresu správne, ale je použité na nesprávnu dvojicu rozhraní, sa pre váš tok nevyberie. Route-lookup rozhoduje, či sa preložený paket smeruje, alebo sa použije pôvodný cieľ, a to určuje, či sa návratová prevádzka vráti tunelom.

Správa samotného ASA je samostatný prípad. Ak pre správu používate identity NAT, platí požiadavka route-lookup špecifická pre verziu a široká výnimka skopírovaná z príkladu VPN problém SSH nevyrieši.

Deny v ACL pre NAT v IOS znamená tu nie je vybraté

V IOS je internetový NAT riadený zoznamom zdrojov a tento ACL je klasifikátor, nie filter. Riadok permit vyberá prevádzku na preklad; riadok deny znamená, že paket tu nie je vybratý. Tento deny nie je pokyn paket zahodiť, ako deny v ACL rozhrania.

Tu nie je vybraté je tiež užšie než nikde sa neprekladá. Iné pravidlo NAT, iné rozhranie alebo route-map môžu tok stále preložiť, preto treba prečítať celú tabuľku NAT. Paket tiež potrebuje trasu, zodpovedajúci crypto ACL a povolenie na skutočných hraniciach riadenia prístupu.

Minimálne usporiadanie v IOS stavia deny nad permit v tom istom zozname a pravidlo overload smeruje na tento zoznam. Potom crypto ACL chráni tú istú dvojicu, ktorú deny vylučuje z prekladu.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Jedna overiteľná otázka pre oba modely

Oba modely odpovedajú na tú istú otázku: ktoré pravidlo zodpovedalo tomuto toku a ktoré adresy opustili rozhranie? Zachyťte na vonkajšom rozhraní a porovnajte zdrojovú adresu pred bránou a po nej. Potom skontrolujte pohľad protistrany na tunel, pretože SA môže byť aktívna, zatiaľ čo chránený tok sa prekladá inde.

V ASA zobrazte nat detail a tabuľku prekladov; v IOS ip nat translations a príslušné počítadlá ACL. Pravidlo, ktoré nikdy nerastie, nebolo nikdy vybraté, a to ukazuje na poradie, rozhranie alebo smer, nie na konfiguráciu crypto.

Kde sa konfigurácia zvyčajne pokazí

Bežné zlyhania sú mechanické. Deny je pod permit a nikdy nezodpovedá. Klasifikátor sa používa v nesprávnom smere, takže návratový tok sa prekladá. Pravidlo identity pokrýva správne adresy, ale nesprávnu dvojicu rozhraní. Crypto ACL chráni podsieti, ktorá už nezodpovedá tomu, čo pravidlo NAT predkladá.

Zapíšte pôvodnú a predkladanú dvojicu adries vedľa vlastníka pravidla, aby nasledujúci inžinier videl, prečo klasifikátor odmieta preklad, kým firewall aplikáciu povoľuje. Uchovávajte to v tikete zmeny, nie v osobnej poznámke. Potom po každej zmene NAT spustite tok znova, pretože poradie pravidiel je súčasťou konfigurácie aj keď sa text pravidla nezmenil. Tunel, ktorý sa zdvihne, nie je dôkazom, že adresy prežili; iba zachytený paket a pohľad protistrany po dekapsulácii.

Súvisiace články