Split тунел не ослобађа јавни хост од NAT правила на ASA

Split-include рута увлачи јавни хост у тунел, где ASA мора да уради hairpin и преведе извор. Прескочите било који од два корака и ток пада.

Split тунелирање се обично описује као начин да се корпоративни саобраћај задржи унутар тунела, а остатак интернета изван заштитног зида. Обе половине тог описа су погрешне на исти начин. Split тунелирање је одлука о рути коју доноси клијент, а одлука о рути не говори ништа о томе шта се дешава са пакетом након што стигне до headend-а.

Једна партнерска услуга на јавној адреси, која инсистира да види адресу вашег седишта, довољна је да разбије причу.

Мит: split тунел уклања заштитни зид са пута

Веровање је да свако одредиште изван приватних опсега остаје на локалној интернет вези, па га заштитни зид никада не види и никада му не треба правило. То важи само док одредиште није на листи тунела. У тренутку када оператер дода јавни хост у split-include ACL, клијент шаље тај саобраћај у тунел, а ASA мора да га рутира, филтрира и преведе као сваки други дешифровани ток. На клијенту се није променило ништа осим листе одредишта.

Клијент није постао рутер. Пратио је политику коју сте му дали.

Шта split-include рута заправо ради

У Cisco ASA подешавању за удаљени приступ групна политика носи split-tunnel-policy tunnelspecified и split-tunnel-network-list који именује стандардни ACL. Свака permit линија у том ACL-у је одредиште које клијент треба да пошаље у тунел, а све остало наставља да користи локалну подразумевану руту.

Додавање једног хоста је једна линија, и то је једини део промене који клијент може да види: access-list RA-SPLIT standard permit host 203.0.113.20.

Након тога поново повежите клијента. Политика се размењује при повезивању, па успостављена сесија задржава стару листу и чини да промена изгледа као да није ништа урадила.

Пакет долази и одлази на истом интерфејсу

Сада пратите ток након дешифровања. Пакет је ушао кроз спољни интерфејс преко VPN тунела, његово одредиште је јавна адреса, а табела рутирања га шаље назад кроз исти спољни интерфејс ка интернету. Саобраћај који улази и излази на једном интерфејсу се одбацује осим ако ASA то не дозволи, а управо то ради same-security-traffic permit intra-interface. Без тога веза пада на начин који изгледа као проблем рутирања, а није.

То подешавање је глобално. Дозвољава hairpinning за сваки ток коме је потребан, не само за овај партнерски хост, зато припада прегледаној промени, а не брзом тесту.

Зашто PAT ограничен на одредиште није опционалан

Изворна адреса на дешифрованом пакету је и даље VPN адреса клијента, обично из базена као што је 10.77.0.0/24. Та адреса нема руту на јавном интернету, па партнер или никада не одговара или одговара у празно.

Превод исправља извор и оставља одредиште нетакнутим. Пошто су објекти већ дефинисани другде, ручно правило ограничено на ово одредиште има овај облик:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

Део destination static је важан. Ако га изоставите, правило постаје широк превод који може да се поклопи са много више саобраћаја него што је намењено, а широко identity правило раније у редоследу може га потпуно победити. Проверите show nat detail и редослед секција пре него што претпоставите да је ваше правило оно које се поклапа.

Интерфејсни PAT такође значи да партнер види интерфејсну адресу ASA, која може бити поново преведена узводно. Ако уговор наводи адресу, потврдите је од краја до краја, а не на једном скоку.

Докажите то исправним тестним одредиштем

Користите сам партнерски хост, а не генеричку what-is-my-ip страницу. Та страница је скоро сигурно изван split листе, па пријављује вашу локалну интернет адресу и не говори ништа о овом путу. Отворите нову везу ка партнерској услузи и питајте који су извор приметили, или покрените packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed и читајте фазе NAT и рутирања линију по линију. Traceroute са клијента је слабија провера, јер показује пут који се већ догодио, а не политику која га је изабрала.

Затим проверите шта не треба да се промени. Обичан веб-сајт мора и даље да излази преко локалне везе, а приватни ресурс на листи тунела мора да остане доступан. Промена која поправља партнера и квари једно од то двоје је друга грешка.

Радна верзија овог дизајна је кратка: један хост у split ACL-у, дозвола за hairpin, једно PAT правило ограничено на одредиште. Све остало у причи је мит.

Повезани чланци