ASA VPN hairpin: kuelekeza tunnels mbili kupitia interface moja

Mtumiaji wa mbali anajiunga na ASA, anaomba host iliyo nyuma ya tawi, na ASA inatuma ombi hilo kupitia interface ile ile ambayo mtumiaji aliingia. Hakuna chochote katika hilo kinachohitaji bandari ya pili ya kimwili. Kinachohitajika ni maamuzi manne huru ambayo watu huwa wakiyachanganya kuwa moja: idhini ya kufanya hairpin, tunnel inayolinda anwani sahihi, sera ya NAT inayohifadhi chanzo ulichoahidi, na sera ya ufikiaji inayoidhinisha huduma.

Pakiti moja, tunnels mbili

Fuata mtiririko na mpangilio wa shughuli hautaendelea kuwa wa kizunguzungu. Pakiti inafika ndani ya tunnel ya ufikiaji wa mbali, inafumbuliwa na kuwa pakiti ya kawaida ya IP yenye chanzo kutoka kwenye bwawa la wateja. Kisha ASA inaielekeza, inailinganisha na crypto ACL ya tovuti-hadi-tovuti, inaisimba upya na kuituma kutoka interface ya nje kuelekea tawi.

Anwani zilizo hapa chini ni za mfano, lakini umbo ni muhimu: chanzo ni bwawa, si LAN ya ndani ya ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Mambo mawili yanafuata. Mteja anahitaji njia ya kiambishi cha tawi kupitia muunganisho wake wa ufikiaji wa mbali, kumaanisha split-tunnel au orodha ya njia inayosukumwa lazima iijumuishe. Na tawi lazima lijue jinsi ya kurudisha trafiki kwa 10.77.0.20 au kwa anwani ambayo muundo wako wa NAT uliibadilisha.

Idhini ya hairpin ni ya kimataifa

Amri ambayo watu hukimbilia ni same-security-traffic permit intra-interface. Inaruhusu trafiki kuingia na kutoka kupitia interface moja, ambayo ndiyo hasa inahitajika na njia hii. Pia ni mpangilio wa kimataifa: kuiwezesha hubadilisha tabia ya mitiririko mingine inayotokea kupita interface moja mara mbili.

Ndiyo sababu inafaa kuwa kwenye rekodi ya mabadiliko badala ya kikao cha utatuzi wa hitilafu. Uliza nini kingine kwenye kifaa kinaweza sasa kuchukua njia ya interface moja, na kama chochote kati ya hivyo kinapaswa. Kwenye ukingo wenye shughuli nyingi na mitandao ya wageni au tunnels za washirika zinazopishana, jibu si lazima liwe hapana. Andika sababu kando ya mpangilio, kwa sababu mhandisi anayefuata atapata amri na si mazungumzo.

Wigo wa ulinzi na NAT ni tofauti

Tunnel ya tovuti-hadi-tovuti inalinda chochote ambacho crypto ACL yake inachagua. Ikiwa ACL hiyo inataja subnet ya ndani ya ASA kama chanzo, bwawa la ufikiaji wa mbali halijalindwa na pakiti itatupwa au itatumwa waziwazi, kulingana na tabia ya jukwaa kwa trafiki isiyolingana. Ongeza bwawa kwenye mtiririko uliolindwa wakati muundo unahifadhi anwani za bwawa.

Kisha NAT inaamua kama anwani ya bwawa itaendelea kuwepo. Identity NAT inaihifadhi, na tawi linaona 10.77.0.20 kama chanzo. Utafsiri hubadilisha makubaliano: tawi sasa linarudisha trafiki kwa anwani iliyotafsiriwa, na sera yake yenyewe lazima ikubali hilo. Mpangilio wa kanuni huamua kama crypto ACL inalingana kabla au baada ya utafsiri, kwa hivyo soma mtiririko halisi badala ya kudhani ni upi utashinda.

Usifute kanuni za jumla za PAT za intaneti ili kesi moja ya upitishaji ifanye kazi. Msamaha unaolengwa au kanuni ya identity ya makusudi ni rahisi kueleza na kurudisha nyuma kuliko shimo kwenye sera ya kutoka.

Usimbaji fiche si idhini

Tunnel inayofanya kazi inathibitisha tu kwamba pande mbili zinakubaliana kuhusu funguo na vichaguzi. Haisemi chochote kuhusu kama mtumiaji huyu anaweza kufikia huduma hiyo. Kichujio cha VPN au sera ya kikundi iliyoambatanishwa na muunganisho wa ufikiaji wa mbali bado inapaswa kuruhusu lengwa na bandari ya tawi, na ACL ya interface kwenye njia ya nje bado inatumika.

Jaribu jibu kwa pande zote mbili. Muunganisho unaofaulu wakati huduma jirani inapaswa kushindwa una taarifa zaidi kuliko ping moja iliyofaulu, kwa sababu unaonyesha sera ni ya kuchagua na si wazi kabisa. Iwapo jaribio ambalo linapaswa kukataliwa linafaulu, tunnel si lawama; sera ndiyo. Hifadhi matokeo yote mawili kwenye rekodi ya mabadiliko ili mtu anayefuata ajue tabia gani ilikusudiwa.

Hairpin au interface ya pili

Upitishaji wa hairpin unaweka muundo mdogo na unagharimu mpangilio mmoja wa kimataifa. Interface tofauti, au tunnel inayotegemea njia yenye interface yake pepe, hutenganisha njia ya upitishaji na inakupa sera kwa kila interface, kwa gharama ya anwani na crypto map au wasifu mwingine. Hakuna inayofaa zaidi; zinashindwa kwa namna tofauti.

Miundo inayotegemea njia ni mpangilio tofauti, si kisanduku cha kuweka tiki kwenye usanidi ule ule. Ukiendea mmoja, mjadala wa juu kuhusu crypto ACL inayotegemea sera hautumiki tena na jedwali la njia huanza kufanya kazi ya uteuzi.

Thibitisha kutoka kwa mteja halisi

Uchunguzi ulioanzishwa kutoka ASA una anwani tofauti ya chanzo na hautapitia njia ya bwawa-hadi-tawi. Tumia packet-tracer kukagua tano-tuple, kisha fungua muunganisho halisi kutoka kwa mteja halisi wa mbali, kwa sababu kifuatiliaji huiga na hakibadilishi uelekezaji na sera ya mteja mwenyewe.

Baada ya mabadiliko yaliyopangwa, unganisha na huduma inayopaswa kufanya kazi, kisha na ile inayopaswa kukataliwa, na kisha thibitisha njia ya kurudi ya tawi. mifano ya NAT hairpin ya VPN ya Cisco huweka idhini ya intra-interface, NAT na ACL wazi kando, na hiyo ndiyo mfano wa kiakili unaostahili kunakiliwa.