Identity NAT v ASA proti izjemi NAT v IOS za promet VPN

Podružnica poganja internetni PAT in VPN od mesta do mesta na istem prehodu Cisco, in VPN preneha delovati v trenutku, ko se doda NAT. Naslovi znotraj tunela se ne ujemajo več s tem, kar ščiti crypto ACL, ali nasprotna stran vidi prevedene naslove, za katere nima poti. Cisco to rešuje na dveh mestih: ASA izbere pravilo NAT, ki naslov preslika nase, medtem ko IOS zadrži tok zunaj pravila prevajanja z deny v ACL. Oba ohranjata izvirne naslove in nobeno ni obhod obdelave NAT.

Zapišite tok, preden izberete pravilo

Začnite z zapisom toka, ki ga nameravate zaščititi: vir v lokalnem LAN, oddaljeni cilj in natančen par naslovov, ki ga ščiti politika IPsec. To storite pred urejanjem pravila, ker ta niz pokaže, kateri klasifikator ali pravilo NAT bi se moralo ujemati.

Nato poiščite pravilo, ki se je dejansko ujemalo, ne tisto, ki ste ga nameravali. Na obeh platformah se NAT ocenjuje po vrstnem redu in zgodnejše pravilo lahko zmaga, preden se upošteva vaša izjema. Izjema, ki je videti pravilna, a izgubi proti drugemu pravilu, nikoli ne preda pričakovanega paketa zaščitni politiki. Simptom je enak kot pri manjkajoči izjemi, zato je treba pred spremembo konfiguracije prebrati vrstni red pravil.

Identity NAT v ASA je pravilo, ne obhod

V ASA je identity NAT pravilo NAT, katerega prevedeni naslov je enak izvirnemu. Izbere se kot vsako drugo pravilo in še vedno namesti vnos prevajanja, zato paket ne preskoči obdelave NAT. Spremeni se le, da naslovi v omrežju ostanejo enaki, in to politika IPsec potrebuje.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Vmesniki pravila in njegova nastavitev route-lookup se morajo ujemati z zasnovo posredovanja. Pravilo, ki naslov preslika pravilno, a se uporabi na napačnem paru vmesnikov, ne bo izbrano za vaš tok. Route-lookup odloči, ali se prevedeni paket usmeri ali uporabi izvirni cilj, in to določi, ali se povratni promet vrne skozi tunel.

Upravljalni dostop do samega ASA je ločen primer. Če za upravljalni promet uporabljate identity NAT, velja zahteva route-lookup, odvisna od različice, in široka izjema, kopirana iz primera VPN, ne bo popravila SSH.

Deny v ACL NAT v IOS pomeni tukaj ni izbrano

V IOS internetni NAT vodi seznam virov in ta ACL je klasifikator, ne filter. Vrstica permit izbere promet za prevajanje; vrstica deny pomeni, da paket tukaj ni izbran. Ta deny ni ukaz za zavrženje paketa, kot je deny v ACL vmesnika.

Tukaj ni izbrano je tudi ožje kot nikjer ni prevedeno. Drugo pravilo NAT, drug vmesnik ali route-map lahko tok še vedno prevedejo, zato je treba prebrati celotno tabelo NAT. Paket še vedno potrebuje pot, ustrezen crypto ACL in dovoljenje na dejanskih mejah nadzora dostopa.

Minimalna postavitev v IOS postavi deny nad permit v istem seznamu in usmeri pravilo overload na ta seznam. Takrat crypto ACL ščiti isti par, ki ga deny izloči iz prevajanja.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Eno preverljivo vprašanje za oba modela

Oba modela odgovorita na isto vprašanje: katero pravilo se je ujemalo s tem tokom in kateri naslovi so zapustili vmesnik? Zajemite na zunanjem vmesniku in primerjajte izvorni naslov pred prehodom in po njem. Nato preverite pogled nasprotne strani na tunel, ker je SA lahko vzpostavljen, medtem ko se zaščiteni tok prevaja drugje.

V ASA prikažite nat detail in tabelo prevodov; v IOS ip nat translations in ustrezne števce ACL. Pravilo, ki nikoli ne naraste, nikoli ni bilo izbrano, in to kaže na vrstni red, vmesnik ali smer, ne na konfiguracijo crypto.

Kje se konfiguracija običajno zlomi

Pogoste napake so mehanske. Deny stoji pod permit in se nikoli ne ujema. Klasifikator se uporabi v napačni smeri, zato se povratni tok prevede. Pravilo identity pokriva prave naslove, a napačen par vmesnikov. Crypto ACL ščiti podomrežje, ki ne ustreza več temu, kar predstavlja pravilo NAT.

Zapišite izvirni in predstavljeni par naslovov ob lastniku pravila, da bo naslednji inženir videl, zakaj klasifikator zavrača prevajanje, medtem ko požarni zid dovoljuje aplikacijo. Hranite to v zahtevku za spremembo, ne v osebni beležki. Nato po vsaki spremembi NAT znova zaženite tok, ker je vrstni red pravil del konfiguracije, tudi ko se besedilo pravila ni spremenilo. Tunel, ki se dvigne, ni dokaz, da so naslovi preživeli; le zajet paket in pogled nasprotne strani po dekapsulaciji.