ASA hairpin: njia ya kutoka intaneti au mguu wa VPN kati ya maeneo?

Watumiaji wawili wa ufikiaji wa mbali nyuma ya ASA moja wanaweza kutuma trafiki kupitia kiolesura kimoja cha nje na kupata huduma tofauti kabisa. Mmoja anaelekea tovuti ya umma, kwa hiyo pakiti inahitaji tafsiri ya chanzo na njia ya intaneti. Mwingine anaelekea seva iliyo nyuma ya handaki kati ya maeneo ambayo pia huisha kwenye kiolesura hicho, kwa hiyo pakiti inahitaji utambulisho, kichaguzi cha handaki kinacholingana na njia ya kurudi kwenye kundi la wateja. Ruhusa ya kiolesura kimoja ni sharti kwa vyote viwili na si suluhisho kwa kimoja.

Miguu miwili, kiolesura kimoja

Amua ni mguu upi unaojenga kabla ya kuandika kanuni ya NAT, kwa sababu kanuni hazibadilishani. Mguu A ni mteja kwenda intaneti: anwani ya kundi inaingia, anwani ya umma iliyotafsiriwa inatoka, inarudi kupitia kiolesura kimoja. Mguu B ni mteja kwenda kiambishi awali cha faragha upande wa pili wa mwenzake mwingine wa IPsec: anwani ya kundi huhifadhiwa, husimbwa upya na kupelekwa kwa mwenza ambaye lazima ajue jinsi ya kujibu kundi.

Kinachohitajika na vyote viwili kwanza ni ruhusa ya kiolesura kimoja. Bila hiyo ASA inakataa kusambaza pakiti kutoka kwenye kiolesura ilikofika, na hitilafu inaonekana kama tatizo la uelekezaji badala ya tatizo la sera:

same-security-traffic permit intra-interface

Mstari huo mmoja unaruhusu mpangilio wa usambazaji, kama inavyoeleza marejeo ya NAT ya ASA kwa njia kupitia kiolesura kimoja. Haiongezi njia ya mteja, hairuhusu rasilimali, haitafsiri anwani wala haijadili kichaguzi cha IPsec, kwa hiyo tarajia kuongeza vitu vitatu au vinne zaidi baada yake na usisome kukubalika kwake kama maendeleo.

Mguu A: mteja anataka intaneti

Kwa kutoka kwenda intaneti anwani ya kundi lazima iachane kuwa ya faragha kabla pakiti haijaondoka kwenye kifaa. Katika muundo wa kawaida wa PAT kanuni hutafsiri kundi kuwa anwani ya kiolesura cha nje, na hali ya kurudi hurejesha mtiririko kuelekea mteja:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Kisha thibitisha kwamba mteja alimwomba ASA kubeba trafiki hiyo kwa kweli. Kutengwa kwa handaki lililogawanywa hutuma lengo la umma kupitia muunganisho wa simu yenyewe, ambao haufiki ASA kamwe, na hakuna kanuni ya NAT inayotengeneza pakiti ambayo haikutumwa kamwe. Linganisha orodha ya handaki lililogawanywa ya sera ya kikundi na lengo unalojaribu.

Sehemu iliyobaki ya mguu ni ya kawaida: njia ya chaguo-msingi au mahususi inayoweza kutumika kutoka kiolesura cha nje, sera ya ufikiaji inayoruhusu mtiririko, na DNS inayoshughulikiwa kwa mujibu wa sera ya kitatuzi uliyochagua. Ongeza route-lookup hapa kwa sababu ile ile kama ifuatavyo, kwa kuwa kiolesura cha kuingia na cha kutoka ni sawa.

Mguu B: mteja anataka eneo la faragha

Mguu huu unashindwa katika maeneo zaidi, kwa hiyo uandike kwa mpangilio. Kwanza njia ya mteja: kiambishi awali cha lengo lazima kiwe kwenye orodha ya handaki lililogawanywa, vinginevyo mteja hatakiweka kwenye handaki. Pili kichaguzi cha handaki: ACL ya usimbaji kati ya maeneo lazima ifunike anwani ya kundi hadi kiambishi awali cha mbali, sio tu LAN ya ndani hadi kiambishi awali cha mbali. Tatu utambulisho, ili anwani ya kundi isitafsiriwe kuwa PAT ya intaneti njiani.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Upande wa mbali ni sehemu ambayo watu husahau kuijaribu. Mwenza anahitaji njia ya kurudi kwenye kundi na kichaguzi kinachojumuisha, na sera yake mwenyewe lazima iruhusu anwani za chanzo atakazoziona. Ikiwa eneo linatumika kupitia mwonekano uliotafsiriwa badala yake, huo ni muundo halali, lakini basi wenza wote wawili, vichaguzi vyote viwili na majedwali yote mawili ya uelekezaji lazima yakubaliane kuhusu anwani zilizotafsiriwa.

Angalia pia mpangilio wa kanuni. Kanuni pana ya PAT juu ya kanuni ya utambulisho itatafsiri ubadilishanaji wa faragha kabla kanuni ya utambulisho kutathminiwa, na dalili ni handaki la eneo lisilo na SA inayolingana badala ya hitilafu ya NAT.

Jaribio linalokuambia ni mguu upi uliojenga

Tumia tathmini ya njia ya ASA yenyewe badala ya kusoma usanidi na kutumaini. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed huonyesha uamuzi wa NAT, njia na matokeo ya ACL kwa mtiririko mmoja; rudia kwa lengo la faragha. Ikiwa awamu ya NAT inaandika upya mtiririko wa faragha-kwa-faragha, ulijenga mguu A kwa pakiti iliyohitaji mguu B.

Amri mbili zaidi hufunga pengo. show nat detail huchapisha mpangilio wa kanuni ambao packet-tracer ilifuata, na show crypto ipsec sa huonyesha kama kichaguzi kipo kwa jozi unayotarajia. SA inayokosekana ni suala la usanidi wa kichaguzi au mwenza, sio kitu ambacho kanuni ya NAT inaweza kutengeneza.

Thibitisha kila mguu kwa trafiki inayohudumia

Kubali mguu A kwa ombi la kawaida la umma kutoka kwa mteja, na mguu B kwa ombi kwa rasilimali ya faragha iliyopo kweli. Kisha rudia kila moja kwa rasilimali iliyokataliwa, kwa sababu “imeruhusiwa” na “imeidhinishwa na sera ya ufikiaji” sio ushahidi mmoja, na ping inayotoka kwenye kitovu haifunzi njia yoyote ya mteja.

Weka kumbukumbu mbili za majaribio tofauti kwenye tiketi: anwani ya chanzo, lengo, kanuni ya NAT iliyolingana na matokeo. Wakati ripoti ijayo itasema “VPN imevunjika”, jozi hilo litakuambia ndani ya dakika moja ni mguu upi uliorudi nyuma, na jibu kwa kawaida ni njia au kichaguzi, sio mstari wa kiolesura kimoja ambao kila mtu hushuku kwanza.