ASA VPN hairpin: smerovanie dvoch tunelov cez jedno rozhranie

Prevádzka vzdialeného používateľa môže odísť tým istým rozhraním ASA, ktorým prišla, ale povolenie hairpin, rozsah tunela, NAT a ACL sú štyri samostatné rozhodnutia.

Vzdialený používateľ sa pripojí k ASA, požiada o hostiteľa za pobočkou a ASA odošle túto požiadavku cez presne to rozhranie, ktorým používateľ prišiel. Nič z toho nevyžaduje druhý fyzický port. Vyžaduje však štyri nezávislé rozhodnutia, ktoré ľudia zvyknú zlievať do jedného: povolenie hairpin, tunel, ktorý chráni správne adresy, pravidlo NAT, ktoré zachová zdroj, ktorý ste sľúbili, a prístupovú politiku, ktorá službu povolí.

Jeden paket, dva tunely

Sledujte tok a poradie operácií prestane byť záhadné. Paket prichádza vnútri tunela vzdialeného prístupu, dešifruje sa a stane sa bežným IP paketom so zdrojom z klientskeho poolu. ASA ho potom smeruje, porovná ho s crypto ACL typu lokalita-lokalita, znova ho zašifruje a odošle cez vonkajšie rozhranie k pobočke.

Adresy nižšie sú ilustratívne, ale tvar je dôležitý: zdrojom je pool, nie interná LAN ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Z toho vyplývajú dve veci. Klient potrebuje trasu pre prefix pobočky cez svoje pripojenie vzdialeného prístupu, čo znamená, že split-tunnel alebo zoznam vnútených trás ho musí obsahovať. A pobočka musí vedieť, ako vrátiť prevádzku na 10.77.0.20 alebo na adresu, ktorou ju nahradil váš návrh NAT.

Povolenie hairpin je globálne

Príkaz, po ktorom ľudia siahajú, je same-security-traffic permit intra-interface. Umožňuje prevádzke vstúpiť a vystúpiť tým istým rozhraním, čo je presne to, čo táto cesta potrebuje. Je to tiež globálne nastavenie: jeho zapnutím sa zmení správanie iných tokov, ktoré náhodou prechádzajú tým istým rozhraním dvakrát.

Preto patrí do záznamu o zmene, a nie do ladiacej relácie. Spýtajte sa, čo iné na zariadení teraz môže ísť cestou cez to isté rozhranie a či by niečo z toho malo. Na vyťaženom okraji s hosťovskými sieťami alebo prekrývajúcimi sa partnerskými tunelmi nie je odpoveď automaticky nie. Napíšte dôvod vedľa nastavenia, pretože ďalší inžinier nájde príkaz, a nie rozhovor.

Rozsah ochrany a NAT sú oddelené

Tunel typu lokalita-lokalita chráni to, čo vyberie jeho crypto ACL. Ak tento ACL uvádza ako zdroj internú podsiev ASA, pool vzdialeného prístupu nie je chránený a paket bude buď zahodený, alebo odoslaný v otvorenej podobe, podľa správania platformy pri nezhodnej prevádzke. Pridajte pool do chráneného toku, keď návrh zachováva adresy poolu.

NAT potom rozhodne, či adresa poolu prežije. Identity NAT ju zachová a pobočka vidí 10.77.0.20 ako zdroj. Preklad mení zmluvu: pobočka teraz vracia prevádzku na preloženú adresu a jej vlastná politika to musí prijať. Poradie pravidiel rozhoduje, či sa crypto ACL zhoduje pred prekladom alebo po ňom, takže čítajte skutočný tok, namiesto toho aby ste predpokladali, ktoré pravidlo vyhrá.

Nemažte všeobecné internetové pravidlá PAT, aby fungoval jeden tranzitný prípad. Cielená výnimka alebo úmyselné identity pravidlo sa vysvetľujú a vracajú ľahšie než diera vo výstupnej politike.

Šifrovanie nie je autorizácia

Funkčný tunel dokazuje len to, že sa dve strany zhodujú na kľúčoch a selektoroch. Nič nehovorí o tom, či tento používateľ smie dosiahnuť tú službu. VPN filter alebo skupinová politika pripojená k spojeniu vzdialeného prístupu stále musí povoliť cieľ a port pobočky a ACL rozhrania na vonkajšej ceste stále platí.

Otestujte odpoveď v oboch smeroch. Spojenie, ktoré uspeje, hoci susedná služba by mala zlyhať, je informatívnejšie než jeden úspešný ping, pretože ukazuje, že politika je selektívna a nie dokorán otvorená. Ak zakázaný test uspeje, vinný nie je tunel, ale politika. Uložte oba výsledky do záznamu o zmene, aby ďalší človek vedel, aké správanie bolo zamýšľané.

Hairpin alebo druhé rozhranie

Hairpin tranzit udržiava návrh malý a stojí jedno globálne nastavenie. Samostatné rozhranie alebo trasový tunel s vlastným virtuálnym rozhraním izoluje tranzitnú cestu a dáva politiku pre každé rozhranie, za cenu adresovania a ďalšej crypto mapy alebo profilu. Ani jedno nie je správnejšie; zlyhávajú rôzne.

Trasové návrhy sú iné usporiadanie, nie zaškrtávacie políčko v tej istej konfigurácii. Ak na taký prejdete, vyššie uvedená diskusia o crypto ACL založenom na politikách prestane platiť a prácu s výberom začne robiť smerovacia tabuľka.

Overujte zo skutočného klienta

Sonda spustená z ASA má inú zdrojovú adresu a neprejde cestu z poolu do pobočky. Použite packet-tracer na kontrolu pätice, potom otvorte skutočné spojenie z reálneho vzdialeného klienta, pretože sledovač simuluje a nenahrádza vlastné smerovanie a politiku klienta.

Po plánovanej zmene sa pripojte k službe, ktorá má fungovať, potom k tej, ktorá má byť odmietnutá, a napokon potvrďte návratovú trasu pobočky. príklady NAT hairpin pre VPN od Cisco držia povolenie intra-interface, NAT a ACL viditeľne oddelené, a to je mentálny model, ktorý stojí za to kopírovať.

Súvisiace články