ASA identity NAT iyo IOS NAT ka-reebidda ee gaadiidka VPN

Cisco gateway-yada, ASA identity NAT iyo ka-reebidda kala-saaraha NAT ee IOS labaduba waxay ilaaliyaan cinwaannada VPN. Xeerarku waxay ku kala duwan yihiin halka tarjumaadda laga boodo.

Laan waxay ku shaqaysaa PAT internet iyo VPN site-to-site isla Cisco gateway, VPN-na waxay joojisaa shaqada isla markii NAT lagu daro. Cinwaannada gudaha tunnel-ka lama jaanqaadaan waxa crypto ACL ilaaliso, ama dhinaca kale wuxuu arkaa cinwaanno la tarjumay oo aanu marin u lahayn. Cisco waxay tan ku xallinaysaa laba meelood: ASA waxay doorataa xeer NAT oo cinwaanka ku sawira naftiisa, IOS-na waxay ku haysaa socodka baxsan xeer tarjumaad iyada oo adeegsanaysa deny gudaha ACL. Labaduba waxay ilaaliyaan cinwaannada asalka ah, midna ma aha ka-gudubka habaynta NAT.

Diiwaangeli socodka ka hor inta aadan dooran xeer

Ku bilow qorista socodka aad rabto inaad ilaaliso: isha LAN-ga maxalliga ah, meesha fog iyo lammaanaha cinwaanka saxda ah ee siyaasadda IPsec ilaaliso. Tan samee ka hor inta aadan tafatirin xeer, sababtoo ah kooxdan waxay muujinaysaa kala-saare ama xeer NAT kee ay ahayd inuu ku beermo.

Kadib raadi xeerka dhab ahaan ku beermay, ma aha kii aad qasadey. Labada platform NAT waxaa lagu qiimeeyaa nidaam, xeerna hore ayaa laga yaabaa inuu guuleysto ka hor inta aan la tixgelin ka-reebiddaada. Ka-reebidda u eg mid sax ah laakiin ka guul darraysa xeer kale waligeed ma dhiibto baakadda la filayo siyaasadda ilaalinta. Calaamaddu waxay la mid tahay ka-reebid la'aan, sidaas darteed nidaamka xeerarka waa in la akhriyaa ka hor inta aan la beddelin habaynta.

ASA identity NAT waa xeer, ma aha ka-gudub

ASA gudaheeda identity NAT waa xeer NAT oo cinwaanka la tarjumay uu la mid yahay kan asalka ah. Waxaa loo doorataa sida xeer kasta oo kale oo weli rakibaya gelitaan tarjumaad, sidaas darteed baakaddu ma boodo habaynta NAT. Waxa is beddela ayaa ah in cinwaannada shabakadda ay isku mid yihiin, taasna waa waxa siyaasadda IPsec u baahan tahay.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Interfaces-ka xeerka iyo dejinta route-lookup waa inay la jaanqaadaan naqshadda gudbinta. Xeer sawira cinwaanka si sax ah laakiin lagu dabaqo lammaane interface khaldan lama dooran doono socodkaaga. Route-lookup waxay go'aamisaa in baakadda la tarjumay la maro ama la isticmaalo meesha asalka ah, taasna waxay go'aamisaa in gaadiidka soo noqda uu tunnel-ka soo maro.

Helitaanka maamulka ee ASA lafteeda waa kiis gooni ah. Haddii aad isticmaasho identity NAT gaadiidka maamulka, shuruudda route-lookup ee ku xiran sii-deynta ayaa khuseysa, ka-reebid ballaaran oo laga koobiyeeyay tusaale VPN ma hagaajin doonto SSH.

Deny gudaha IOS NAT ACL waxay ka dhigan tahay halkan lama dooran

IOS gudaheeda NAT internet waxaa lagu walaaqaa liis isha, ACL-na waa kala-saare, ma aha shaandhe. Sadar permit waxay u doorataa gaadiidka tarjumaad; sadar deny waxay ka dhigan tahay baakadda halkan lama dooran. Deny-daas ma aha amar baakadda la tuuro sida deny gudaha ACL interface.

Halkan lama dooran sidoo kale way ka cidhiidhi yar tahay waligeed meelna lama tarjun. Xeer NAT kale, interface kale ama route-map ayaa weli tarjumi kara socodka, sidaas darteed waa in la akhriyaa dhammaan shaxda NAT. Baakaddu waxay weli u baahan tahay marin, crypto ACL u dhigma iyo fasax xadka kontoroolka gelitaanka dhabta ah.

Habaynta IOS ugu yar waxay deny dhigtaa ka sarreysa permit isla liiska waxayna u jeedisaa xeerka overload liiskaas. Markaas crypto ACL waxay ilaalisaa isla lammaanaha deny ka reebay tarjumaadda.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Hal su'aal la tijaabin karo labada qaab

Labada qaab waxay ka jawaabaan isla su'aal: xeer kee ayaa ku beermay socodkan, iyo cinwaannadee ayaa ka baxay interface-ka? Ku qabo interface-ka dibadda oo isbarbar dhig cinwaanka isha ka hor iyo ka dib gateway-ka. Kadib hubi aragtida dhinaca kale ee tunnel-ka, sababtoo ah SA wuu taagnaan karaa iyada oo socodka la ilaaliyo lagu tarjumayo meel kale.

ASA ku tusi nat detail iyo shaxda tarjumaadda; IOS ku tusi ip nat translations iyo tiriyayaasha ACL ee u dhigma. Xeer waligiis kordhin ma aha mid waligiis lama dooran, taasna waxay tilmaamaysaa nidaamka, interface-ka ama jihada ee ma aha habaynta crypto.

Halka habaynta sida caadiga ah qaldanto

Cilladaha caadiga ah waa farsamo. Deny wuxuu hoos yimaadaa permit waligiisna ma beermo. Kala-saaraha waxaa lagu dabaqaa jihada khaldan, sidaas darteed socodka soo noqda waa la tarjumaa. Xeerka identity wuxuu daboolaa cinwaannada saxda ah laakiin lammaanaha interface khaldan. Crypto ACL waxay ilaalisaa shabakad-hoosaad aan hadda la jaanqaadin waxa xeerka NAT soo bandhigo.

Qor lammaanaha cinwaanka asalka ah iyo kan la soo bandhigay agteeda milkiilaha xeerka, si injineerka xiga uu u arko sababta kala-saare u diido tarjumaadda halka firewall u oggolaado barnaamijka. Ku hay tan tigidhka isbeddelka, ma aha qoraal shaqsi ah. Kadib mar kale ord socodka ka dib isbeddel kasta oo NAT, sababtoo ah nidaamka xeerarku waa qayb ka mid ah habaynta xitaa marka qoraalka xeerka uusan isbeddelin. Tunnel soo baxa ma aha caddayn in cinwaannadu sii noolaadeen; kaliya baakadda la qabtay iyo aragtida dhinaca kale ka dib furfurista.

Maqaallo la xiriira