ASA VPN hairpin: laba tunnel u marinta hal interface

Taraafikada isticmaalaha fog ayaa ka bixi kara isla interface-ka ASA uu ka soo galay, laakiin fasaxa hairpin, baaxadda tunnel-ka, NAT iyo ACL waa afar go'aan oo kala duwan.

Isticmaale fog ayaa ku xirma ASA, wuxuu weydiistaa host ka dambeeya laan, ASA-na codsigaas wuxuu u diraa isla interface-kii uu isticmaalahu ka soo galay. Wax ka mid ah taas uma baahna port jireed labaad. Waxa ay u baahan tahay waa afar go'aan oo madax-bannaan oo dadku ay u muuqdaan inay hal go'aan isku daraan: fasaxa hairpin, tunnel difaacaya ciwaannada saxda ah, siyaasadda NAT ee ilaalisa isha aad ballan qaaday, iyo siyaasadda gelitaanka ee ansixisa adeegga.

Hal baakad, laba tunnel

Raac socodka oo isku xigxiga hawlgallada ma noqon doono wax qarsoodi ah. Baakaddu waxay soo gashaa gudaha tunnel-ka gelitaanka fog, waa la furaa oo waxay noqotaa baakad IP caadi ah oo isha ka timid kooxda macaamiisha. Kadib ASA way marin habaabisaa, waxay la barbardhigtaa crypto ACL-ka goob-ilaa-goob, mar kale way sireeyaa oo waxay ka diraa interface-ka dibadda xagga laanta.

Cinwaannada hoose waa tusaale, laakiin qaabku waa muhiim: isha waa kooxda, ma aha LAN-ka gudaha ee ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Laba arrimood ayaa ka soo baxa. Macmiilku wuxuu u baahan yahay marin loogu talagalay horgalaha laanta isaga oo isticmaalaya xiriirkiisa gelitaanka fog, taas oo macnaheedu yahay in split-tunnel ama liiska marinnada la riixay ay tahay inuu ku daro. Laantuna waa inay ogaataa sida taraafikada loogu celinayo 10.77.0.20 ama cinwaanka uu naqshaddaada NAT ku beddelay.

Fasaxa hairpin waa mid caalami ah

Amarka dadku u soo jeestaan waa same-security-traffic permit intra-interface. Wuxuu u ogolaanayaa taraafikada inuu soo galo oo ka baxo isla interface-ka, taas oo ah waxa uunka u baahan yahay. Sidoo kale waa deegaan caalami ah: daamurkoodu wuxuu beddelaa dhaqanka socodka kale ee si kadis ah laba jeer dhex mara isla interface-ka.

Taas ayaa sabab u ah inuu ku deelmo diiwaanka isbeddelka halkii uu ka ahaan lahaa fadhi cilad-baaris. Weydii wax kale oo qalabka ku jira oo hadda qaadan kara marinka isla interface-ka, iyo haddii wax ka mid ah ay tahay inuu sameeyo. Cidhifka mashquulka ah oo leh shabakado marti ama tunnel-shuraako is-dulsaar ah, jawaabtu si otomaatig ah ma aha maya. Qor sababta agteeda dejinta, maxaa yeelay injineerka xiga wuxuu heli doonaa amarka ee ma helayo wada-hadalka.

Baaxadda difaaca iyo NAT waa kala duwan yihiin

Tunnel-ka goob-ilaa-goob wuxuu difaacaa waxa uu crypto ACL-kiisu doorto. Haddii ACL-kaasi uu sheego isha subnet-ka gudaha ASA, kooxda gelitaanka fog lama difaacna oo baakadka waa la tuuri doonaa ama si cad ayaa loo diri doonaa, iyadoo ku xiran dhaqanka madal ee taraafikada aan is waafaqsanayn. Ku dar kooxda socodka la difaacay marka naqshaddu ilaaliso cinwaannada kooxda.

Kadib NAT wuxuu go'aamiyaa haddii cinwaanka kooxdu sii noolaado. Identity NAT way hayaan oo laantu waxay u aragtaa 10.77.0.20 isha. Turjumaaddu waxay beddelaa qandaraaska: laantu hadda waxay taraafikada ku celinaysaa cinwaanka la turjumay, oo siyaasaddeeda u gaar ah waa inay aqbashaa. Nidaamka sharciyadu wuxuu go'aamiyaa haddii crypto ACL-ku is waafaqo turjumaadda ka hor ama ka dib, markaa akhri socodka dhabta ah halkii aad ka qiyaasi lahayd midka guuleysanaya.

Ha tirtirin sharciyada guud ee PAT ee internetka si hal kiis oo gudbid ah u shaqeeyo. Ka-reebitaan bartilmaameedsan ama sharci identity oo ula kac ah ayaa ka fudud in la sharraxo oo dib loo celiyo marka loo eego dalool ku yimaada siyaasadda bixitaanka.

Sirteyntu ma aha ansixin

Tunnel shaqaynaya wuxuu kaliya caddeeyaa in laba dhinac ay ku heshiiyeen furayaasha iyo doorashooyinka. Wax ma sheegayso haddii isticmaalahan uu gaari karo adeeggaas. Shaandhada VPN ama siyaasadda kooxda ku xiran xiriirka gelitaanka fog waa inay wali oggolaadaan meesha laanta iyo dekedda, ACL-ka interface-ka ee marinka dibaddana wali wuu khusayaa.

Tijaabi jawaabta labada jihba. Xiriir guuleysta iyadoo adeeg deris ah ay tahay inuu fashilmo ayaa ka war-bixin badan hal ping guuleysta, sababtoo ah waxay tusinaysaa in siyaasaddu tahay mid xulasho leh oo aan si ballaaran u furmin. Haddii tijaabada la diidi lahaa ay guuleysato, tunnel-ka masuul ma aha; siyaasadda ayaa masuul ah. Kaydi labada natiijo diiwaanka isbeddelka si qofka xiga uu u ogaado dhaqanka loo qasday.

Hairpin ama interface labaad

Gudbinta hairpin naqshadda way yaraysaa oo waxay ku kacdaa hal deegaan caalami. Interface gaar ah, ama tunnel ku salaysan marrin leh interface-kiisa macmalka ah, wuxuu go'doomiyaa marinka gudbinta oo wuxuu ku siinayaa siyaasad interface kasta, iyadoo ku kacda cinwaanaynta iyo crypto map ama profile kale. Midna sax ma aha; si kala duwan ayay u fashilmaan.

Naqshadaha ku salaysan marinnada waa habayn kale, ma aha sanduuq calaamad leh isla qaabeynta. Haddii aad u gudubto mid, doodda kor ku xusan ee crypto ACL-ka ku salaysan siyaasadda way joogsataa inay khusayso oo shaxda marinnadu waxay bilaabataa inay qabato shaqada xulashada.

Ka xaqiiji macmiilka dhabta ah

Baaritaan laga bilaabay ASA wuxuu leeyahay cinwaan isha ka duwan oo ma mari doono marinka kooxda-ilaa-laanta. Isticmaal packet-tracer si aad u hubiso shanta-qayb, kadib fur xiriir dhab ah oo ka yimid macmiilka fog ee dhabta ah, maxaa yeelay raadraaduhu wuxuu matalaa oo ma beddelo marrinta iyo siyaasadda macmiilka laftiisa.

Isbeddel qorshaysan ka dib, ku xir adeeg ay tahay inuu shaqeeyo, kadib mid ay tahay in la diido, kadibna xaqiiji marinka soo noqoshada laanta. tusaaleyaasha NAT hairpin ee VPN ee Cisco waxay si muuqata u kala hayaan fasaxa intra-interface, NAT iyo ACL, taasina waa qaabka maskaxda ee mudan in la koobiyeeyo.

Maqaallo la xiriira