Split tunel ne izvzame javnega gostitelja iz pravil NAT na ASA

Pot split-include potegne javnega gostitelja v tunel, kjer mora ASA narediti hairpin in prevesti vir. Izpustite kateri koli od dveh korakov in tok pade.

Split tuneliranje je običajno opisano kot način, kako obdržati poslovni promet znotraj tunela in preostanek interneta zunaj požarnega zidu. Obe polovici tega opisa sta napačni na enak način. Split tuneliranje je odločitev o poti, ki jo sprejme odjemalec, in odločitev o poti ne pove ničesar o tem, kaj se zgodi s paketom, ko doseže headend.

Ena partnerska storitev na javnem naslovu, ki vztraja, da vidi naslov vašega sedeža, zadostuje, da podre zgodbo.

Mit: split tunel odstrani požarni zid s poti

Prepričanje je, da vsak cilj zunaj zasebnih obsegov ostane na lokalni internetni povezavi, zato ga požarni zid nikoli ne vidi in nikoli ne potrebuje pravila zanj. To velja le, dokler cilja ni na seznamu tunela. V trenutku, ko skrbnik doda javnega gostitelja v ACL split-include, odjemalec pošlje ta promet v tunel, ASA pa ga mora usmeriti, filtrirati in prevesti kot vsak drug dešifriran tok. Na odjemalcu se ni spremenilo nič razen seznama ciljev.

Odjemalec ni postal usmerjevalnik. Sledil je politiki, ki ste mu jo dali.

Kaj pot split-include dejansko počne

V nastavitvi oddaljenega dostopa Cisco ASA skupinska politika nosi split-tunnel-policy tunnelspecified in split-tunnel-network-list, ki poimenuje standardni ACL. Vsaka vrstica permit v tem ACL je cilj, ki ga mora odjemalec poslati v tunel, vse ostalo pa še naprej uporablja lokalno privzeto pot.

Dodajanje enega gostitelja je ena vrstica in to je edini del spremembe, ki ga odjemalec lahko vidi: access-list RA-SPLIT standard permit host 203.0.113.20.

Nato odjemalca znova povežite. Politika se izmenja ob povezavi, zato uveljavljena seja obdrži stari seznam in sprememba izgleda, kot da ni storila ničesar.

Paket pride in odide na istem vmesniku

Zdaj sledite toku po dešifriranju. Paket je vstopil skozi zunanji vmesnik po tunelu VPN, njegov cilj je javni naslov, usmerjevalna tabela pa ga pošlje nazaj skozi isti zunanji vmesnik proti internetu. Promet, ki vstopi in izstopi na enem vmesniku, se zavrže, razen če ASA to dovoli, in prav to počne same-security-traffic permit intra-interface. Brez tega povezava odpove tako, da izgleda kot težava z usmerjanjem, pa ni.

Ta nastavitev je globalna. Dovoljuje hairpinning za vsak tok, ki ga potrebuje, ne le za tega partnerskega gostitelja, zato spada v pregledano spremembo in ne v hitri test.

Zakaj PAT, omejen na cilj, ni neobvezen

Izvorni naslov dešifriranega paketa je še vedno naslov VPN odjemalca, običajno iz bazena, kot je 10.77.0.0/24. Ta naslov nima poti v javnem internetu, zato partner bodisi nikoli ne odgovori bodisi odgovori v prazno.

Prevod popravi vir in pusti cilj nedotaknjen. Ker so objekti že definirani drugje, ima ročno pravilo, omejeno na ta cilj, to obliko:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

Del destination static je pomemben. Če ga izpustite, pravilo postane širok prevod, ki se lahko ujema z veliko več prometa, kot je bilo predvideno, široko pravilo identity, ki je prej v vrstnem redu, pa ga lahko popolnoma premaga. Preverite show nat detail in vrstni red razdelkov, preden domnevate, da je vaše pravilo tisto, ki se ujema.

PAT na vmesniku pomeni tudi, da partner vidi naslov vmesnika ASA, ki je lahko znova preveden višje. Če pogodba navaja naslov, ga potrdite od začetka do konca, ne na enem skoku.

Dokažite s pravim preskusnim ciljem

Uporabite sam partnerski gostitelj, ne splošne strani what-is-my-ip. Ta stran je skoraj zagotovo zunaj seznama split, zato poroča vaš lokalni internetni naslov in o tej poti ne pove ničesar. Odprite novo povezavo do partnerske storitve in vprašajte, kateri vir so opazili, ali zaženite packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed in berite faze NAT in usmerjanja vrstico za vrstico. Traceroute z odjemalca je šibkejša kontrola, ker prikazuje pot, ki se je že zgodila, ne politike, ki jo je izbrala.

Nato preverite, kaj se ne sme spremeniti. Običajno spletno mesto mora še vedno izhajati iz lokalne povezave, zasebni vir na seznamu tunela pa mora ostati dosegljiv. Sprememba, ki popravi partnerja in pokvari eno od tega dvojega, je druga napaka.

Delujoča različica te zasnove je kratka: en gostitelj v ACL split, dovoljenje hairpin, eno pravilo PAT, omejeno na cilj. Vse ostalo v zgodbi je mit.

Sorodni članki