ASA hairpin: bixidda internetka mise lugta VPN-ka ee goobta-ilaa-goobta?

Kooxda macaamiisha waxay u bixi kartaa internetka ama VPN-ka goobta. Go’aanso lugta aad u baahan tahay ka hor intaadan qorin NAT, ka dibna hubi waddada, doorashada iyo waddada jawaabta.

Laba isticmaale oo gelitaan fog oo ka dambeeya isla ASA waxay u diri karaan taraafikada isla interface-ka dibadda oo heli karaan macaamil si gebi ahaan uga duwan. Mid wuxuu u socdaa website dadweyne, sidaas darteed baakaddu waxay u baahan tahay tarjumaad isha iyo waddo internet. Kan kale wuxuu u socdaa server ka dambeeya tunnel goob-ilaa-goob oo isna ku dhammaada isla interface-kaas, sidaas darteed baakaddu waxay u baahan tahay aqoonsi, doorasho tunnel oo is waafaqsan iyo waddo ku noqota kooxda macaamiisha. Fasaxa isla interface-ka waa shuruud labadaba waana xal midkoodna ma aha.

Laba lug, hal interface

Go’aanso lugta aad dhiseyso ka hor intaadan qorin qaanuunka NAT, maxaa yeelay qaanuunadu isma beddeli karaan. Lugta A waa macmiil ilaa internet: ciwaanka kooxda gudaha, ciwaanka dadweynaha ee la tarjumay baxa, dib ugu soo noqda isla interface-ka. Lugta B waa macmiil ilaa prefix gaar ah oo ku yaal dhinaca kale ee saaxiibka IPsec kale: ciwaanka kooxda waa la ilaaliyaa, dib ayaa loo sireeyaa oo waxaa la gaarsiiyaa saaxiib u baahan inuu ogaado sida looga jawaabo kooxda.

Waxa labadaba ugu horreeya ee ay u baahan yihiin waa fasaxa isla interface-ka. La’aanteed ASA waxay diiddaa inay baakad ka gudbiso interface-ka ay ku timid, guuldarrada waxay u ekaanaysaa dhibaato waddo halkii ay ahaan lahayd dhibaato siyaasad:

same-security-traffic permit intra-interface

Khadkaas keliya wuxuu fasaxaa habaynta gudbinta, sida tixraaca NAT ee ASA ku sharraxayo waddooyinka isla interface-ka. Ma daro waddo macmiil, ma fasaxo kheyraad, ma tarjunto ciwaan mana wada hadasho doorasho IPsec, sidaas darteed filo inaad ku darto saddex ama afar shay oo kale ka dib, hana u akhri aqbalaadeeda horumar ahaan.

Lugta A: macmiilku wuxuu rabaa internetka

Bixidda internetka ciwaanka kooxdu waa inuu joojiyo gaar ahaanshaha ka hor inta baakaddu ka baxdo qalabka. Naqshad PAT caadi ah qaanuunku wuxuu kooxda u tarjumaa ciwaanka interface-ka dibadda, xaaladda soo noqoshadana waxay soo celisaa qulqulka macmiilka:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Kadib xaqiiji in macmiilku runtii ka codsaday ASA inuu qaado taraafikadaas. Ka-reebista tunnel kala qaybsan waxay u dirtaa meesha dadweynaha iyada oo u maraysa xiriirka telefoonka laftiisa, kaas oo aan waligiis gaarin ASA, mana jiro qaanuun NAT hagaajin kara baakad aan waligiis la dirin. Isbarbardhig liiska tunnel kala qaybsan ee siyaasadda kooxda iyo meesha aad tijaabinayso.

Qaybta kale ee lugtu waa caadi: waddo default ama gaar ah oo la isticmaali karo oo ka timaadda interface-ka dibadda, siyaasad gelitaan oo fasaxaysa qulqulka, iyo DNS oo lagu maareeyo si waafaqsan siyaasadda xallinta aad dooratay. Ku dar route-lookup halkan sabab la mid ah tan hoose, maadaama interface-ka gelitaanka iyo bixidda ay isku mid yihiin.

Lugta B: macmiilku wuxuu rabaa goob gaar ah

Lugtan waxay ku guuldareysataa meelo badan, sidaas darteed u qor si kala horraysan. Marka hore waddada macmiilka: prefix-ka meesha loo socdo waa inuu ku jiraa liiska tunnel kala qaybsan, haddii kale macmiilku kuma ridi doono tunnel-ka. Marka labaad doorashada tunnel-ka: ACL-ga sireed ee goob-ilaa-goob waa inuu daboolaa ciwaanka kooxda ilaa prefix-ka fog, ee ma aha oo kaliya LAN-ka maxalliga ah ilaa prefix-ka fog. Marka saddexaad aqoonsiga, si ciwaanka kooxda aan loogu tarjun PAT-ga internetka inta lagu jiro.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Dhinaca fog waa qaybta dadku ilaabaan inay tijaabiyaan. Saaxiibku wuxuu u baahan yahay waddo ku noqota kooxda iyo doorasho ku jirta, iyo siyaasaddiisa u gaar ah waa inay fasaxdo ciwaannada isha ee uu arki doono. Haddii goobta loo isticmaalo aragti la tarjumay beddelkeeda, taasi waa naqshad ansax ah, laakiin markaas labada saaxiib, labada doorasho iyo labada shax oo waddooyin waa inay ku heshiiyaan ciwaannada la tarjumay.

Sidoo kale hubi nidaamka qaanuunnada. Qaanuun PAT ballaadhan oo ka sarreeya qaanuunka aqoonsiga wuxuu tarjumi doonaa isdhaafsiga gaarka ah ka hor inta aan qaanuunka aqoonsiga la qiimeyn, calaamadduna waa tunnel goob oo aan lahayn SA is waafaqsan ee ma aha khalad NAT.

Imtixaanka kuu sheegaya lugta aad dhistay

Isticmaal qiimeynta waddada ee ASA lafteeda halkii aad ka akhri lahayd konfigaraatio oo aad rajayn lahayd. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed wuxuu muujinayaa go’aanka NAT, waddada iyo natiijada ACL ee hal qulqul; ku celi meel gaar ah. Haddii wejiga NAT dib u qoro qulqul gaar-ilaa-gaar, waxaad dhistay lug A baakad u baahnaa lug B.

Laba amar oo kale ayaa xirta farqiga. show nat detail wuxuu daabacaa nidaamka qaanuunnada ee packet-tracer raacay, iyo show crypto ipsec sa wuxuu muujinayaa haddii doorasho u jirto lammaanaha aad filayso. SA maqan waa arrin konfigaraatio doorasho ama saaxiib, ma aha wax qaanuunka NAT hagaajin karo.

Xaqiiji lug kasta taraafikada ay u adeegto

Aqbal lug A codsi dadweyne caadi ah oo macmiilka ah, oo aqbal lug B codsi kheyraad gaar ah oo runtii jira. Kadib ku celi mid kasta oo diiday kheyraad, maxaa yeelay “la oggolaaday” iyo “siyaasadda gelitaanka ayaa ansixisay” isku marag ma aha, ping ka soo baxa xarunta-na mid ka mid ah waddooyinka macmiilka ma tababaro.

Ku hay labada diiwaan imtixaan gooni gooni tigidhka: ciwaanka isha, meesha, qaanuunka NAT ee is waafaqay iyo natiijada. Marka warbixinta xigta tidhaahdo “VPN-ku wuu jabay”, lammaanahaas waxay kuu sheegayaan daqiiqad gudaheed lugta dib u dhacday, jawaabtuna badanaa waa waddo ama doorasho, ma aha khadka isla interface-ka ee qof walba ugu horreeya ka shakiyo.

Maqaallo la xiriira