Tunnel-ka qaybsan ma ka badbaadiyo martigeliyaha guud xeerarka NAT ee ASA

Tunnel-ka qaybsan waxaa badanaa lagu sifeeyaa inuu yahay hab lagu hayo gaadiidka shirkadda gudaha tunnel-ka iyo inta kale ee internet-ka dibadda firewall-ka. Labada qaybood ee sifeyntaas si isku mid ah ayay khalad u yihiin. Tunnel-ka qaybsan waa go’aan waddo oo uu macmiilku gaaro, go’aanka waddona wax ma sheegayo waxa ku dhaca baakadda marka ay gaarto headend.

Hal adeeg shuraako ah oo ku yaal ciwaan guud, oo ku adkaysta inuu arko ciwaanka xafiiskaaga weyn, waa ku filan yahay inuu burburiyo sheekada.

Khuraafaadka: tunnel-ka qaybsan wuxuu firewall-ka ka saaraa waddada

Aaminsanaantu waa in goob kasta oo ka baxsan xadka gaarka ah ay ku sii harto xiriirka internet-ka maxalliga ah, sidaas darteed firewall-ku waligiis ma arko oo waligiis uma baahna xeer. Taasi waxay ansaxaysaa oo kaliya inta goobtu aanay ku jirin liiska tunnel-ka. Waqtiga uu hawlwadeenku ku daro martigeliyaha guud ACL split-include, macmiilku wuxuu gaadiidkaas u diraa tunnel-ka, ASA-na waa inay u jiheeyso, kala shaandheeyso oo tarjunto sida qulqul kasta oo kale oo la furey. Macmiilka wax kama beddelmin liiska goobaha mooyaane.

Macmiilku ma noqon router. Wuxuu raacay siyaasadda aad siisay.

Waxa ay waddada split-include dhab ahaan qabato

Habaynta gelitaanka fog ee Cisco ASA, siyaasadda kooxdu waxay qaaddaa split-tunnel-policy tunnelspecified iyo split-tunnel-network-list oo magacaabaya ACL caadi ah. Sadar kasta oo permit ah oo ku jira ACL-kaas waa goob ay tahay in macmiilku u diro tunnel-ka, wax kale oo dhan waxay sii wadaan isticmaalka waddada caadiga ah ee maxalliga ah.

Ku darista hal martigeliyaha waa hal sadar, waana qaybta kaliya ee isbeddelka ee macmiilku arki karo: access-list RA-SPLIT standard permit host 203.0.113.20.

Ka dib dib u xiriir macmiilka. Siyaasadda waxaa la isweydaarsadaa marka la xiriiro, sidaas darteed fadhiga hore loo sameeyay wuxuu hayaa liiskii hore oo isbeddelku u muuqdaa sidii waxba ma uusan qaban.

Baakaddu waxay soo gashaa oo ka baxdaa isla interface-ka

Hadda raac qulqulka ka dib furitaanka. Baakaddu waxay ka soo gashay interface-ka dibadda iyada oo maraysa tunnel-ka VPN, goobteedu waa ciwaan guud, shaxda waddaduna waxay dib ugu diraa isla interface-ka dibadda ee dhanka internet-ka. Gaadiidka soo gala oo ka baxa hal interface waa la tuuraa haddii aan ASA loo fasaxin, taasna waa waxa same-security-traffic permit intra-interface sameeyo. La’aanteed xiriirku wuxuu ku guul darraystaa si u eg mushkilad waddo oo aanay ahayn.

Dejintaas waa caalami. Waxay u fasaxisaa hairpinning qulqul kasta oo u baahan, ma aha oo kaliya martigeliyahan shuraakada, sidaas darteed waxay ka mid tahay isbeddel la dib u eegay ee ma aha tijaabo degdeg ah.

Sababta PAT ku xaddidan goobta aan ikhtiyaari ahayn

Ciwaanka isha ee baakadda la furey wali waa ciwaanka VPN ee macmiilka, sida caadiga ah basiin sida 10.77.0.0/24. Ciwaankaas ma laha waddo ku taal internet-ka guud, sidaas darteed shuraakadu ama waligeed ma jawaabo ama meel aan jirin ayay ka jawaabaa.

Turjumaaddu waxay hagaajisaa isha oo waxba kama qaban goobta. Maadaama walxaha hore loogu qeexay meel kale, xeer gacan-ku-qoran oo ku xaddidan goobtan wuxuu leeyahay qaabkan:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

Qaybta destination static waa muhiim. Haddii aad ka tagto, xeerku wuxuu noqdaa turjumaad ballaaran oo laga yaabo inuu la jaanqaado gaadiid aad uga badan intii la qorsheeyay, xeer identity ballaaran oo hore uga jira nidaamka ayaa si buuxda uga adkaan kara kan. Hubi show nat detail iyo nidaamka qaybaha ka hor intaadan u malayn in xeerkaagu yahay kan la jaanqaadaya.

PAT interface-ka waxay kaloo ka dhigan tahay in shuraakadu ay arko ciwaanka interface-ka ASA, kaas oo laga yaabo in mar kale la tarjumo xagga sare. Haddii qandaraasku magacaabo ciwaan, ka xaqiiji bilow ilaa dhammaad halkii boodbood.

Ku caddee goobta tijaabada saxda ah

Isticmaal martigeliyaha shuraakada laftiisa, ma aha bogga what-is-my-ip ee caadiga ah. Boggaas wuxuu ku dhow yahay inuu ka baxsan yahay liiska split, sidaas darteed wuxuu soo sheegaa ciwaankaaga internet-ka maxalliga ah oo wax ma sheegayo waddadan. Fur xiriir cusub oo ku wajahan adeegga shuraakada oo weydii isha ay arkeen, ama socodsii packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed oo akhri tallaabooyinka NAT iyo waddada sadar kasta. Traceroute laga sameeyay macmiilka waa hubin daciif ah, sababtoo ah waxay muujinaysaa waddada hore u dhacday, ma aha siyaasadda dooratay.

Ka dib hubi waxa aanay ahayn inuu isbeddelo. Bogga caadiga ah wali waa inuu ka baxaa xiriirka maxalliga ah, khadka gaarka ah ee ku jira liiska tunnel-kana wali waa inuu ahaadaa mid la gaari karo. Isbeddel hagaajiya shuraakada oo jebiya mid ka mid ah labadaas waa bug kale.

Nooca shaqeeya ee naqshaddan waa gaaban: hal martigeliye oo ku jira ACL split, fasax hairpin, iyo hal xeer PAT oo ku xaddidan goobta. Wax kasta oo kale oo sheekada ku jira waa khuraafaad.