ASA VPN hairpin: drejtimi i dy tuneleve përmes një ndërfaqeje

Një përdorues në distancë lidhet me ASA-n, kërkon një host pas një dege, dhe ASA e dërgon atë kërkesë nga pikërisht e njëjta ndërfaqe nga e cila hyri përdoruesi. Asgjë nga kjo nuk kërkon një port të dytë fizik. Ajo që kërkon janë katër vendime të pavarura që njerëzit priren t'i shkrijnë në një: leja për të bërë hairpin, një tunel që mbron adresat e duhura, një politikë NAT që ruan burimin që premtove, dhe një politikë aksesi që autorizon shërbimin.

Një paketë, dy tunele

Ndiq rrjedhën dhe rendi i veprimeve nuk është më misterioz. Paketa mbërrin brenda tunelit të aksesit në distancë, deshifrohet dhe bëhet një paketë IP e zakonshme me burim nga grupi i klientëve. Më pas ASA e drejton atë, e përputh me crypto ACL nga vendi në vend, e kripton përsëri dhe e dërgon nga ndërfaqja e jashtme drejt degës.

Adresat më poshtë janë ilustruese, por forma ka rëndësi: burimi është grupi, jo LAN-i i brendshëm i ASA-s.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Nga kjo rrjedhin dy gjëra. Klienti ka nevojë për një rrugë për prefiksin e degës përmes lidhjes së tij të aksesit në distancë, që do të thotë se split-tunnel ose lista e rrugëve të shtyra duhet ta përfshijë atë. Dhe dega duhet të dijë se si t'ia kthejë trafikun 10.77.0.20 ose adresës që ka zëvendësuar dizajni yt i NAT.

Leja e hairpin është globale

Komanda të cilës i drejtohen njerëzit është same-security-traffic permit intra-interface. Ajo lejon trafikun të hyjë dhe të dalë nga e njëjta ndërfaqe, që është pikërisht ajo që i nevojitet kësaj rruge. Është gjithashtu një cilësim global: aktivizimi i saj ndryshon sjelljen e rrjedhave të tjera që ndodh të kalojnë dy herë nëpër të njëjtën ndërfaqe.

Prandaj i takon një regjistri ndryshimesh dhe jo një sesioni korrigjimi. Pyet se çfarë tjetër në pajisje mund të marrë tani një rrugë nëpër të njëjtën ndërfaqe, dhe nëse ndonjë gjë prej tyre duhet. Në një skaj të ngarkuar me rrjeta mysafirësh ose tunele partnerësh që mbivendosen, përgjigjja nuk është automatikisht jo. Shkruaj arsyen pranë cilësimit, sepse inxhinieri i ardhshëm do të gjejë komandën dhe jo bisedën.

Shtrirja e mbrojtjes dhe NAT janë të ndara

Tuneli nga vendi në vend mbron çfarë zgjedh crypto ACL i tij. Nëse ai ACL emërton subnet-in e brendshëm të ASA-s si burim, grupi i aksesit në distancë nuk mbrohet dhe paketa ose do të hidhet ose do të dërgohet hapur, në varësi të sjelljes së platformës ndaj trafikut që nuk përputhet. Shto grupin në rrjedhën e mbrojtur kur dizajni ruan adresat e grupit.

Më pas NAT vendos nëse adresa e grupit mbijeton. Identity NAT e ruan atë, dhe dega e sheh 10.77.0.20 si burim. Përkthimi ndryshon kontratën: dega tani e kthen trafikun në adresën e përkthyer, dhe politika e saj duhet ta pranojë atë. Rendi i rregullave vendos nëse crypto ACL përputhet para apo pas përkthimit, prandaj lexo rrjedhën efektive në vend që të supozosh cila fiton.

Mos i fshi rregullat e përgjithshme PAT të internetit që të funksionojë një rast i vetëm tranziti. Një përjashtim i synuar ose një rregull identity i qëllimshëm shpjegohen dhe kthehen më lehtë sesa një vrimë në politikën e daljes.

Kriptimi nuk është autorizim

Një tunel që funksionon provon vetëm se dy palë bien dakord për çelësat dhe përzgjedhësit. Nuk thotë asgjë nëse ky përdorues mund ta arrijë atë shërbim. Filtri VPN ose politika e grupit të lidhur me lidhjen e aksesit në distancë duhet ende të lejojë destinacionin dhe portin e degës, dhe ACL e ndërfaqes në rrugën e jashtme vazhdon të zbatohet.

Testo përgjigjen në të dy drejtimet. Një lidhje që ka sukses ndërsa një shërbim fqinj duhet të dështojë është më informuese sesa një ping i suksesshëm, sepse tregon se politika është selektive dhe jo e hapur gjerësisht. Nëse testi që duhet të refuzohet ka sukses, fajtori nuk është tuneli, por politika. Ruaj të dyja rezultatet në regjistrin e ndryshimeve që personi tjetër të dijë cila sjellje ishte e qëllimshme.

Hairpin ose një ndërfaqe e dytë

Tranziti hairpin e mban dizajnin të vogël dhe kushton një cilësim global. Një ndërfaqe e veçantë, ose një tunel i bazuar në rrugëtim me ndërfaqen e vet virtuale, izolon rrugën e tranzitit dhe të jep politikë për çdo ndërfaqe, me koston e adresimit dhe një crypto map ose profil tjetër. Asnjëra nuk është më e saktë; ato dështojnë në mënyra të ndryshme.

Dizajnet e bazuara në rrugëtim janë një rregullim tjetër, jo një kuti kontrolli në të njëjtin konfigurim. Nëse kalon në një të tillë, diskutimi më sipër për crypto ACL të bazuar në politika nuk zbatohet më dhe tabela e rrugëtimit fillon të bëjë punën e përzgjedhjes.

Verifiko nga klienti i vërtetë

Një provë e nisur nga ASA ka një adresë burimi të ndryshme dhe nuk do të kalojë rrugën nga grupi në degë. Përdor packet-tracer për të kontrolluar pesëshen, pastaj hap një lidhje të vërtetë nga klienti real në distancë, sepse gjurmuesi simulon dhe nuk zëvendëson rrugëtimin dhe politikën e vetë klientit.

Pas një ndryshimi të planifikuar, lidhu me një shërbim që duhet të funksionojë, pastaj me një që duhet të refuzohet, dhe më pas konfirmo rrugën e kthimit të degës. shembujt e Cisco për NAT hairpin në VPN i mbajnë lejen intra-interface, NAT dhe ACL-të dukshëm të ndara, dhe ky është modeli mendor që ia vlen të kopjohet.