ASA VPN hairpin: рутирање два тунела кроз један интерфејс

Саобраћај удаљеног корисника може да изађе кроз исти ASA интерфејс на који је стигао, али дозвола за hairpin, обим тунела, NAT и ACL су четири одвојене одлуке.

Удаљени корисник се повезује са ASA, тражи host иза филијале, и ASA шаље тај захтев кроз исти интерфејс на који је корисник стигао. Ништа од тога не захтева други физички порт. Захтева четири независне одлуке које људи обично стапају у једну: дозволу за hairpin, тунел који штити праве адресе, NAT политику која чува извор који сте обећали и приступну политику која одобрава услугу.

Један пакет, два тунела

Пратите ток и редослед операција престаје да буде тајанствен. Пакет долази унутар тунела удаљеног приступа, дешифрује се и постаје обичан IP пакет са извором из клијентског пула. Затим га ASA рутира, упоређује са crypto ACL-ом од локације до локације, поново шифрује и шаље кроз спољни интерфејс ка филијали.

Адресе испод су илустративне, али облик је важан: извор је пул, а не унутрашњи LAN ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Из тога следе две ствари. Клијенту је потребна рута за префикс филијале кроз његову везу удаљеног приступа, што значи да split-tunnel или листа гурнутих рута мора да је садржи. А филијала мора да зна како да врати саобраћај на 10.77.0.20 или на адресу коју је заменио ваш NAT дизајн.

Дозвола за hairpin је глобална

Команда којој људи посежу је same-security-traffic permit intra-interface. Она дозвољава саобраћају да уђе и изађе кроз исти интерфејс, што је тачно оно што ова путања захтева. Она је и глобално подешавање: њено укључивање мења понашање других токова који случајно два пута прођу кроз исти интерфејс.

Зато она припада запису о променама, а не сесији за отклањање грешака. Питајте шта још на уређају сада може да иде путањом кроз исти интерфејс и да ли би нешто од тога требало. На прометном ободу са гостинским мрежама или преклопљеним партнерским тунелима одговор није аутоматски не. Запишите разлог поред подешавања, јер ће следећи инжењер наћи команду, а не разговор.

Обим заштите и NAT су одвојени

Тунел од локације до локације штити оно што одабере његов crypto ACL. Ако тај ACL наводи унутрашњу подмрежу ASA као извор, пул удаљеног приступа није заштићен и пакет ће или бити одбачен или послат у отвореном облику, зависно од понашања платформе према неусклађеном саобраћају. Додајте пул у заштићени ток када дизајн чува адресе пула.

Затим NAT одлучује да ли адреса пула преживљава. Identity NAT је чува и филијала види 10.77.0.20 као извор. Превод мења уговор: филијала сада враћа саобраћај на преведену адресу и њена сопствена политика то мора да прихвати. Редослед правила одлучује да ли се crypto ACL поклапа пре или после превода, зато читајте стварни ток уместо да претпостављате које правило побеђује.

Не бришите општа PAT правила за интернет да би један транзитни случај прорадио. Циљано изузеће или намерно identity правило лакше је објаснити и поништити од рупе у излазној политици.

Шифровање није ауторизација

Тунел који ради доказује само да се две стране слажу око кључева и селектора. Ништа не говори о томе сме ли овај корисник да достигне ту услугу. VPN филтер или групна политика везана за везу удаљеног приступа и даље мора да дозволи одредиште и порт филијале, а ACL интерфејса на спољној путањи и даље важи.

Тестирајте одговор у оба смера. Веза која успева док би суседна услуга требало да падне информативнија је од једног успешног ping-а, јер показује да је политика селективна, а не широко отворена. Ако забрањени тест успе, није крив тунел, већ политика. Сачувајте оба резултата у запису о промени да би следећа особа знала које понашање је било намеравано.

Hairpin или други интерфејс

Hairpin транзит држи дизајн малим и кошта једно глобално подешавање. Одвојен интерфејс или рутирајући тунел са сопственим виртуелним интерфејсом изолује транзитну путању и даје вам политику по интерфејсу, уз цену адресирања и још једне crypto map или профила. Ниједно није исправније; она отказују различито.

Рутирајући дизајни су други распоред, а не поље за штиклирање у истој конфигурацији. Ако пређете на такав, горња дискусија о crypto ACL-у заснованом на политикама престаје да важи и табела рутирања почиње да обавља посао избора.

Проверите са стварног клијента

Сонда покренута са ASA има другу изворну адресу и неће проћи путању од пула до филијале. Користите packet-tracer за проверу петерке, затим отворите стварну везу са стварног удаљеног клијента, јер трагач симулира и не замењује сопствено рутирање и политику клијента.

После планиране промене повежите се са услугом која би требало да ради, затим са оном која би требало да буде одбијена, и на крају потврдите повратну руту филијале. примери Cisco за VPN hairpin NAT држе дозволу intra-interface, NAT и ACL видљиво одвојеним, и то је мисаони модел који вреди копирати.

Повезани чланци