ASA VPN hairpin: usmerjanje dveh tunelov skozi en vmesnik

Promet oddaljenega uporabnika lahko zapusti isti vmesnik ASA, na katerega je prispel, vendar so dovoljenje hairpin, obseg tunela, NAT in seznami ACL štiri ločene odločitve.

Oddaljeni uporabnik se poveže z ASA, zahteva gostitelja za podružnico, in ASA pošlje to zahtevo skozi natanko tisti vmesnik, skozi katerega je uporabnik prispel. Nič od tega ne potrebuje drugega fizičnega vrat. Potrebuje pa štiri neodvisne odločitve, ki jih ljudje radi zlijejo v eno: dovoljenje za hairpin, tunel, ki ščiti prave naslove, pravilnik NAT, ki ohrani obljubljeni vir, in pravilnik dostopa, ki storitev dovoli.

En paket, dva tunela

Sledite toku in vrstni red operacij ni več skrivnost. Paket prispe znotraj tunela oddaljenega dostopa, se dešifrira in postane običajen paket IP z virom iz nabora odjemalcev. Nato ga ASA usmeri, primerja s crypto ACL od lokacije do lokacije, ga znova šifrira in pošlje skozi zunanji vmesnik proti podružnici.

Spodnji naslovi so ponazoritveni, vendar je oblika pomembna: vir je nabor, ne notranji LAN ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Iz tega sledita dve stvari. Odjemalec potrebuje pot za predpono podružnice prek svoje povezave oddaljenega dostopa, kar pomeni, da jo mora split-tunnel ali potisnjeni seznam poti vsebovati. In podružnica mora vedeti, kako vrniti promet na 10.77.0.20 ali na naslov, ki ga je nadomestila vaša zasnova NAT.

Dovoljenje hairpin je globalno

Ukaz, po katerem ljudje posežejo, je same-security-traffic permit intra-interface. Omogoča prometu, da vstopi in izstopi skozi isti vmesnik, kar je natanko tisto, kar ta pot potrebuje. Je tudi globalna nastavitev: z omogočitvijo se spremeni vedenje drugih tokov, ki slučajno dvakrat prečkajo isti vmesnik.

Zato spada v zapis o spremembi in ne v sejo odpravljanja napak. Vprašajte, kaj drugega na napravi bi zdaj lahko šlo po poti skozi isti vmesnik in ali bi kaj od tega moralo. Na obremenjenem robu z gostujočimi omrežji ali prekrivajočimi se partnerskimi tuneli odgovor ni samodejno ne. Zapišite razlog ob nastavitvi, ker bo naslednji inženir našel ukaz in ne pogovor.

Obseg zaščite in NAT sta ločena

Tunel od lokacije do lokacije ščiti tisto, kar izbere njegov crypto ACL. Če ta ACL navaja notranjo podomrežje ASA kot vir, nabor oddaljenega dostopa ni zaščiten in paket bo bodisi zavržen bodisi poslan v čistem besedilu, odvisno od vedenja platforme pri neujemajočem prometu. Dodajte nabor v zaščiteni tok, kadar zasnova ohranja naslove nabora.

Nato NAT odloči, ali naslov nabora preživi. Identity NAT ga ohrani in podružnica vidi 10.77.0.20 kot vir. Prevajanje spremeni pogodbo: podružnica zdaj vrača promet na prevedeni naslov in njen pravilnik ga mora sprejeti. Vrstni red pravil odloča, ali se crypto ACL ujema pred prevajanjem ali po njem, zato berite dejanski tok, namesto da predvidevate, kateri zmaga.

Ne brišite splošnih pravil PAT za internet, da bi deloval en sam primer tranzita. Ciljna izjema ali namerno pravilo identity je lažje razložiti in razveljaviti kot luknjo v odhodnem pravilniku.

Šifriranje ni dovoljenje

Delujoč tunel dokazuje le, da se dve strani strinjata o ključih in selektorjih. Nič ne pove o tem, ali sme ta uporabnik doseči to storitev. Filter VPN ali skupinski pravilnik, povezan s povezavo oddaljenega dostopa, mora še vedno dovoliti cilj in vrata podružnice, ACL vmesnika na zunanji poti pa še vedno velja.

Preizkusite odgovor v obe smeri. Povezava, ki uspe, medtem ko bi sosednja storitev morala spodleteti, je bolj informativna od enega uspešnega pina, ker pokaže, da je pravilnik selektiven in ne široko odprt. Če prepovedani preizkus uspe, ni kriv tunel, temveč pravilnik. Shranite oba izida v zapis o spremembi, da bo naslednja oseba vedela, kakšno vedenje je bilo mišljeno.

Hairpin ali drugi vmesnik

Hairpin tranzit ohranja zasnovo majhno in stane eno globalno nastavitev. Ločen vmesnik ali usmerjevalni tunel z lastnim navideznim vmesnikom izolira tranzitno pot in vam da pravilnik za vsak vmesnik, za ceno naslavljanja in še enega crypto map ali profila. Nobeno ni bolj pravilno; spodletita različno.

Zasnove, ki temeljijo na usmerjanju, so drugačna ureditev, ne potrditveno polje v isti konfiguraciji. Če preidete na tako, zgornja razprava o crypto ACL, ki temelji na pravilnikih, preneha veljati in usmerjevalna tabela začne opravljati delo izbire.

Preverite pri resničnem odjemalcu

Sonda, zagnana z ASA, ima drug naslov vira in ne bo prehodila poti od nabora do podružnice. Uporabite packet-tracer za preverjanje peterice, nato odprite resnično povezavo s strani dejanskega oddaljenega odjemalca, ker sledilnik simulira in ne nadomešča lastnega usmerjanja in pravilnika odjemalca.

Po načrtovani spremembi se povežite s storitvijo, ki bi morala delovati, nato s tisto, ki bi morala biti zavrnjena, in nazadnje potrdite povratno pot podružnice. primeri NAT hairpin za VPN podjetja Cisco ohranjajo dovoljenje intra-interface, NAT in ACL vidno ločene, in to je miselni model, ki se ga splača kopirati.

Sorodni članki