ASA hairpin: izhod v internet ali krak VPN med lokacijami?

Skupina odjemalcev lahko odide v internet ali v lokacijski VPN. Odločite se, kateri krak potrebujete, preden napišete NAT, nato preverite pot, selektor in povratno pot.

Dva uporabnika oddaljenega dostopa za istim ASA lahko pošiljata promet skozi isti zunanji vmesnik in sta obravnavana povsem različno. Eden gre na javno spletno mesto, zato paket potrebuje pretvorbo vira in internetno pot. Drugi gre na strežnik za tunelom med lokacijami, ki se prav tako konča na tem vmesniku, zato paket potrebuje identiteto, ustrezen selektor tunela in povratno pot do skupine odjemalcev. Dovoljenje za isti vmesnik je pogoj za oba in rešitev za nobenega.

Dva kraka, en vmesnik

Odločite se, kateri krak gradite, preden vnesete pravilo NAT, ker pravila niso zamenljiva. Krak A je odjemalec v internet: naslov iz skupine noter, preveden javni naslov ven, nazaj skozi isti vmesnik. Krak B je odjemalec do zasebnega predpone na drugi strani drugega partnerja IPsec: naslov iz skupine se ohrani, znova se šifrira in dostavi partnerju, ki mora vedeti, kako odgovoriti skupini.

Oba najprej potrebujeta dovoljenje za isti vmesnik. Brez njega ASA zavrne posredovanje paketa skozi vmesnik, na katerem je prispel, in napaka je videti kot težava usmerjanja, ne politike:

same-security-traffic permit intra-interface

Ta ena vrstica dovoljuje postavitev posredovanja, kot opisuje referenca NAT za ASA za poti skozi isti vmesnik. Ne doda poti odjemalca, ne avtorizira vira, ne pretvori naslova in se ne pogaja o selektorju IPsec, zato pričakujte, da boste po njej dodali še tri ali štiri stvari, in ne berite njene potrditve kot napredek.

Krak A: odjemalec želi internet

Za izhod v internet mora naslov iz skupine prenehati biti zaseben, preden paket zapusti napravo. V običajni zasnovi PAT pravilo pretvori skupino v naslov zunanjega vmesnika, povratno stanje pa obnovi tok proti odjemalcu:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Nato potrdite, da je odjemalec res prosil ASA, naj prenaša ta promet. Izključitev iz razdeljenega tunela pošlje javni cilj po telefonovi lastni povezavi, ki nikoli ne doseže ASA, in nobeno pravilo NAT ne popravi paketa, ki ni bil nikoli poslan. Primerjajte seznam razdeljenega tunela skupinske politike s ciljem, ki ga testirate.

Preostanek kraka je običajen: uporabna privzeta ali konkretna pot iz zunanjega vmesnika, politika dostopa, ki dovoljuje tok, in DNS, obdelan skladno z izbrano politiko razreševalnika. Dodajte route-lookup tukaj iz istega razloga kot spodaj, saj sta vhodni in izhodni vmesnik enaka.

Krak B: odjemalec želi zasebno lokacijo

Ta krak odpove na več mestih, zato ga pišite po vrsti. Najprej pot odjemalca: ciljna predpona mora biti na seznamu razdeljenega tunela, sicer je odjemalec ne bo postavil v tunel. Nato selektor tunela: kripto ACL med lokacijami mora pokrivati naslov skupine do oddaljene predpone, ne le lokalnega LAN-a do oddaljene predpone. Nazadnje identiteta, da se naslov skupine na poti ne pretvori v internetni PAT.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Oddaljena stran je del, ki ga ljudje pozabijo testirati. Partner potrebuje pot nazaj do skupine in selektor, ki jo vključuje, in njegova politika mora dovoliti izvorne naslove, ki jih bo videl. Če se lokacija uporablja skozi preveden pogled, je to veljavna zasnova, a takrat se morata oba partnerja, oba selektorja in obe usmerjevalni tabeli strinjati o prevedenih naslovih.

Preverite tudi vrstni red pravil. Široko pravilo PAT nad pravilom identitete bo pretvorilo zasebno izmenjavo, preden bo pravilo identitete sploh ocenjeno, in simptom je tunel lokacije brez ustreznega SA, ne napaka NAT.

Test, ki vam pove, kateri krak ste zgradili

Uporabite lastno oceno poti na ASA namesto branja konfiguracije in upanja. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed prikaže odločitev NAT, pot in rezultat ACL za en tok; ponovite z zasebnim ciljem. Če faza NAT prepiše tok iz zasebnega v zasebno, ste zgradili krak A za paket, ki je potreboval krak B.

Še dva ukaza zapreta vrzel. show nat detail izpiše vrstni red pravil, ki mu je sledil packet-tracer, in show crypto ipsec sa pokaže, ali za pričakovani par obstaja selektor. Manjkajoči SA je vprašanje konfiguracije selektorja ali partnerja, ne kaj, kar bi pravilo NAT lahko popravilo.

Preverite vsak krak s prometom, ki mu služi

Sprejmite krak A z običajno javno zahtevo odjemalca in krak B z zahtevo do zasebnega vira, ki resnično obstaja. Nato vsakega ponovite z zavrnjenim virom, ker „dovoljeno“ in „odobreno s politiko dostopa“ nista isti dokaz, in ping, ki izvira iz vozlišča, ne uri nobene od odjemalčevih poti.

Dva zapisa testa hranite ločeno v zahtevku: izvorni naslov, cilj, ujemajoče se pravilo NAT in rezultat. Ko naslednje poročilo reče „VPN je pokvarjen“, vam ta par v minuti pove, kateri krak je nazadoval, in odgovor je običajno pot ali selektor, ne vrstica istega vmesnika, ki jo vsi prvi sumijo.

Sorodni članki