ASA hairpin: излаз у интернет или крак VPN-а између локација?

Клијентски пул може да оде према интернету или у локацијски VPN. Одлучите који крак вам треба пре писања NAT-а, затим проверите руту, селектор и повратни пут.

Два корисника удаљеног приступа иза истог ASA уређаја могу да шаљу саобраћај кроз исто спољно сучеље и добију потпуно различит третман. Један иде на јавну веб локацију, па пакет треба превођење извора и интернет руту. Други иде на сервер иза тунела између локација који се такође завршава на том сучељу, па пакет треба идентитет, одговарајући селектор тунела и повратни пут до клијентског пула. Дозвола за исто сучеље је предуслов за оба и решење ни за једно.

Два крака, једно сучеље

Одлучите који крак градите пре него што откуцате NAT правило, јер правила нису заменљива. Крак A је клијент према интернету: адреса из пула улази, преведена јавна адреса излази, назад кроз исто сучеље. Крак B је клијент према приватном префиксу на другој страни другог IPsec партнера: адреса из пула се чува, поново шифрује и доставља партнеру који мора да зна како да одговори пулу.

Оно што је обома прво потребно јесте дозвола за исто сучеље. Без ње ASA одбија да проследи пакет кроз сучеље на које је стигао, а квар изгледа као проблем рутирања, а не као проблем политике:

same-security-traffic permit intra-interface

Та једна линија одобрава распоред прослеђивања, како описује ASA NAT референца за путање кроз исто сучеље. Она не додаје клијентску руту, не ауторизује ресурс, не преводи адресу нити преговара IPsec селектор, па очекујте да ћете након ње додати још три или четири ствари и не читајте њено прихватање као напредак.

Крак A: клијент жели интернет

За излаз у интернет адреса из пула мора да престане да буде приватна пре него што пакет напусти уређај. У обичном PAT дизајну правило преводи пул у адресу спољног сучеља, а повратно стање обнавља ток према клијенту:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Затим потврдите да је клијент заиста замолио ASA да носи тај саобраћај. Изузеће из подељеног тунела шаље јавно одредиште преко сопствене везе телефона, која никада не стиже до ASA уређаја, и никакво NAT правило не поправља пакет који никада није послат. Упоредите листу подељеног тунела групне политике са одредиштем које тестирате.

Остатак крака је обичан: употребљива подразумевана или конкретна рута из спољног сучеља, приступна политика која дозвољава ток и DNS обрађен према политици резолвера коју сте одабрали. Додајте route-lookup овде из истог разлога као ниже, јер су улазно и излазно сучеље идентични.

Крак B: клијент жели приватну локацију

Овај крак пада на више места, па га пишите по реду. Прво клијентска рута: префикс одредишта мора бити на листи подељеног тунела, иначе га клијент неће ставити у тунел. Друго селектор тунела: крипто ACL између локација мора покривати адресу пула до удаљеног префикса, не само локални LAN до удаљеног префикса. Треће идентитет, да се адреса пула успут не преведе у интернет PAT.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Удаљена страна је део који људи забораве да тестирају. Партнеру треба рута назад до пула и селектор који га укључује, и његова сопствена политика мора дозволити изворне адресе које ће видети. Ако се локација користи преко преведеног приказа, то је ваљан дизајн, али тада се оба партнера, оба селектора и обе табеле рутирања морају сложити око преведених адреса.

Проверите и редослед правила. Широко PAT правило изнад правила идентитета превешће приватну размену пре него што се правило идентитета уопште оцени, а симптом је локацијски тунел без одговарајућег SA, а не NAT грешка.

Тест који вам каже који сте крак изградили

Користите сопствену процену пута ASA уређаја уместо да читате конфигурацију и надате се. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed приказује NAT одлуку, руту и резултат ACL-а за један ток; поновите са приватним одредиштем. Ако NAT фаза преписује ток од приватног ка приватном, изградили сте крак A за пакет којем је требао крак B.

Још две наредбе затварају празнину. show nat detail исписује редослед правила који је packet-tracer следио, и show crypto ipsec sa показује постоји ли селектор за пар који очекујете. SA који недостаје је питање конфигурације селектора или партнера, а не нешто што NAT правило може поправити.

Проверите сваки крак саобраћајем којем служи

Прихватите крак A обичним јавним захтевом клијента, а крак B захтевом према приватном ресурсу који заиста постоји. Затим поновите сваки са одбијеним ресурсом, јер „дозвољено“ и „одобрено приступном политиком“ нису исти доказ, а ping који потиче са чворишта не вежба ниједну клијентску путању.

Држите два записа теста одвојено у тикету: изворна адреса, одредиште, NAT правило које се поклопило и резултат. Када следећи извештај каже „VPN је покварен“, тај пар вам у року од минута каже који је крак назадовао, а одговор је обично рута или селектор, а не линија за исто сучеље коју сви прво сумњиче.

Повезани чланци