Identity NAT ya ASA dhidi ya msamaha wa NAT wa IOS kwa trafiki ya VPN

Tawi linaendesha PAT ya intaneti na VPN ya tovuti-hadi-tovuti kwenye lango moja la Cisco, na VPN inaacha kufanya kazi mara tu NAT inapoongezwa. Anwani zilizo ndani ya handaki hazilingani tena na kile crypto ACL inalinda, au upande wa pili unaona anwani zilizotafsiriwa ambao hauna njia kuzifikia. Cisco inatatua hili katika sehemu mbili: ASA inachagua kanuni ya NAT inayoweka anwani yenyewe, wakati IOS inaweka mtiririko nje ya kanuni ya tafsiri kwa deny ndani ya ACL. Zote mbili zinahifadhi anwani za awali, na hakuna moja ni njia ya kupita usindikaji wa NAT.

Andika mtiririko kabla ya kuchagua kanuni

Anza kwa kuandika mtiririko unaotarajia kulinda: chanzo cha LAN, lengo la mbali na jozi kamili ya anwani inayolindwa na sera ya IPsec. Fanya hivi kabla ya kuhariri kanuni, kwa sababu kundi hili linaonyesha ni kigawanyaji gani au kanuni ya NAT iliyopaswa kuendana.

Kisha tafuta kanuni iliyoendana kwa kweli, si ile uliyokusudia. Kwenye majukwaa yote NAT hupimwa kwa mpangilio, na kanuni ya awali inaweza kushinda kabla msamaha wako haujazingatiwa. Msamaha unaoonekana sahihi lakini unashindwa na kanuni nyingine haukabidhi kamwe pakiti inayotarajiwa kwa sera ya ulinzi. Dalili ni sawa na msamaha usiopo, kwa hiyo mpangilio wa kanuni lazima usomwe kabla ya kubadilisha usanidi.

Identity NAT ya ASA ni kanuni, si njia ya kupita

Kwenye ASA, identity NAT ni kanuni ya NAT ambayo anwani iliyotafsiriwa ni sawa na ya awali. Inachaguliwa kama kanuni nyingine yoyote na bado inaweka ingizo la tafsiri, kwa hiyo pakiti haikwepi usindikaji wa NAT. Kinachobadilika ni kwamba anwani kwenye mtandao zinabaki zile zile, na ndivyo sera ya IPsec inahitaji.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Vianzio vya kanuni na mpangilio wake wa route-lookup lazima viendane na muundo wa upelekaji. Kanuni inayoweka anwani sawa lakini inatumika kwenye jozi isiyo sahihi ya vianzio haitachaguliwa kwa mtiririko wako. Route-lookup huamua kama pakiti iliyotafsiriwa inapewa njia au lengo la awali linatumika, na hiyo huamua kama trafiki ya kurudi inarudi kupitia handaki.

Ufikiaji wa usimamizi kwa ASA yenyewe ni kisa tofauti. Ikiwa unatumia identity NAT kwa trafiki ya usimamizi, sharti la route-lookup linalotegemea toleo linatumika, na msamaha mpana ulionakiliwa kutoka mfano wa VPN hautarekebisha SSH.

Deny katika ACL ya NAT ya IOS inamaanisha haijachaguliwa hapa

Kwenye IOS, NAT ya intaneti inaendeshwa na orodha ya vyanzo, na ACL hiyo ni kigawanyaji, si kichujio. Mstari wa permit huchagua trafiki kwa tafsiri; mstari wa deny unamaanisha pakiti haijachaguliwa hapa. Deny hiyo si amri ya kutupa pakiti kama deny katika ACL ya kianzio.

Haijachaguliwa hapa pia ni nyembamba kuliko haijatafsiriwa popote. Kanuni nyingine ya NAT, kianzio kingine au route-map bado vinaweza kutafsiri mtiririko, kwa hiyo jedwali lote la NAT lazima lisomwe. Pakiti bado inahitaji njia, crypto ACL inayolingana na ruhusa kwenye mipaka halisi ya udhibiti wa ufikiaji.

Mpangilio mdogo wa IOS unaweka deny juu ya permit katika orodha hiyo hiyo na uelekeza kanuni ya overload kwenye orodha hiyo. Wakati huo crypto ACL inalinda jozi ile ile ambayo deny inaiondoa kwenye tafsiri.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Swali moja linaloweza kupimwa kwa modeli zote mbili

Modeli zote mbili zinajibu swali lile lile: kanuni gani iliendana na mtiririko huu, na anwani gani zilitoka kwenye kianzio? Nasa kwenye kianzio cha nje na linganisha anwani ya chanzo kabla na baada ya lango. Kisha angalia mtazamo wa upande wa pili kuhusu handaki, kwa sababu SA inaweza kuwa juu wakati mtiririko uliolindwa unatafsiriwa mahali pengine.

Kwenye ASA onyesha nat detail na jedwali la tafsiri; kwenye IOS onyesha ip nat translations na vihesabu vya ACL vinavyolingana. Kanuni isiyoongezeka kamwe haikuchaguliwa kamwe, na hiyo inaelekeza kwenye mpangilio, kianzio au mwelekeo na si usanidi wa crypto.

Mahali usanidi unakosea kwa kawaida

Hitilafu za kawaida ni za kiufundi. Deny iko chini ya permit na haiendani kamwe. Kigawanyaji kinatumika kwenye mwelekeo usio sahihi, kwa hiyo mtiririko wa kurudi unatafsiriwa. Kanuni ya identity inashughulikia anwani sahihi lakini jozi isiyo sahihi ya vianzio. Crypto ACL inalinda subnet ambayo hailingani tena na kile kanuni ya NAT inawasilisha.

Andika jozi ya anwani ya awali na iliyowasilishwa kando ya mmiliki wa kanuni, ili mhandisi anayefuata aone kwa nini kigawanyaji kinakataa tafsiri wakati firewall inaruhusu programu. Hifadhi hiyo kwenye tikiti ya mabadiliko, si kwenye noti ya kibinafsi. Kisha endesha tena mtiririko baada ya mabadiliko yoyote ya NAT, kwa sababu mpangilio wa kanuni ni sehemu ya usanidi hata wakati maandishi ya kanuni hayajabadilika. Handaki linaloinuka si uthibitisho kwamba anwani zilinusurika; ni pakiti iliyonaswa na mtazamo wa upande wa pili baada ya kufungua tu.