Handaki iliyogawanywa haimwondolei mwenyeji wa umma kutoka kwa kanuni za NAT za ASA

Split tunnel hufafanuliwa kwa kawaida kama njia ya kuweka trafiki ya kampuni ndani ya handaki na sehemu nyingine ya intaneti nje ya firewall. Nusu zote mbili za maelezo hayo ni makosa kwa namna moja. Split tunnel ni uamuzi wa njia unaofanywa na mteja, na uamuzi wa njia hausemi chochote kuhusu kile kinachotokea kwa pakiti baada ya kufika headend.

Huduma moja ya mshirika kwenye anwani ya umma, inayosisitiza kuona anwani ya makao makuu yako, inatosha kuangusha hadithi hiyo.

Hadithi potofu: split tunnel huondoa firewall kwenye njia

Imani ni kwamba lengwa lolote nje ya safu za kibinafsi hubaki kwenye muunganisho wa intaneti wa ndani, kwa hivyo firewall hailiondoi kamwe na haihitaji kamwe kanuni kwa ajili yake. Hiyo ni kweli tu wakati lengwa halipo kwenye orodha ya handaki. Wakati opereta anaongeza mwenyeji wa umma kwenye ACL ya split-include, mteja hutuma trafiki hiyo ndani ya handaki, na ASA inapaswa kuielekeza, kuichuja na kuitafsiri kama mtiririko mwingine wowote uliosimbuliwa. Kwa mteja hakuna kilichobadilika isipokuwa orodha ya malengo.

Mteja hakufanyika kuwa kipanga njia. Alifuata sera uliyompa.

Njia ya split-include hufanya nini kwa hakika

Katika usanidi wa ufikiaji wa mbali wa Cisco ASA, sera ya kikundi hubeba split-tunnel-policy tunnelspecified na split-tunnel-network-list inayotaja ACL ya kawaida. Kila mstari wa permit katika ACL hiyo ni lengwa ambalo mteja anapaswa kutuma ndani ya handaki, na kila kingine huendelea kutumia njia chagu-msingi ya ndani.

Kuongeza mwenyeji mmoja ni mstari mmoja, na ndiyo sehemu pekee ya mabadiliko ambayo mteja anaweza kuona: access-list RA-SPLIT standard permit host 203.0.113.20.

Baada ya hapo unganisha mteja tena. Sera hubadilishwa wakati wa muunganisho, kwa hivyo kikao kilichoanzishwa hubaki na orodha ya zamani na hufanya mabadiliko yaonekane kama hayakufanya chochote.

Pakiti huingia na kutoka kwenye kiolesura kimoja

Sasa fuata mtiririko baada ya usimbuaji. Pakiti iliingia kwenye kiolesura cha nje kupitia handaki la VPN, lengwa lake ni anwani ya umma, na jedwali la uelekezaji huirudisha nje kupitia kiolesura hicho cha nje kuelekea intaneti. Trafiki inayoingia na kutoka kwenye kiolesura kimoja hutupwa isipokuwa ASA iruhusiwe, na ndivyo same-security-traffic permit intra-interface hufanya. Bila hiyo muunganisho unashindikana kwa namna inayofanana na tatizo la uelekezaji na si hivyo.

Mpangilio huo ni wa kimataifa. Unaruhusu hairpinning kwa kila mtiririko unaohitaji, si kwa mwenyeji huyu wa mshirika pekee, kwa hivyo ni wa mabadiliko yaliyopitiwa na si ya jaribio la haraka.

Kwa nini PAT iliyozuiwa kwa lengwa si ya hiari

Anwani ya chanzo kwenye pakiti iliyosimbuliwa bado ni anwani ya VPN ya mteja, kwa kawaida kutoka kwenye bwawa kama 10.77.0.0/24. Anwani hiyo haina njia kwenye intaneti ya umma, kwa hivyo mshirika ama hajibu kamwe au hujibu mahali pasipo na kitu.

Tafsiri husahihisha chanzo na kuacha lengwa bila kuguswa. Kwa kuwa vitu vimekwisha fafanuliwa mahali pengine, kanuni ya mkono iliyozuiwa kwa lengwa hili ina umbo hili:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

Sehemu ya destination static ni muhimu. Ukiiacha, kanuni inakuwa tafsiri pana inayoweza kuendana na trafiki nyingi zaidi kuliko ilivyokusudiwa, na kanuni pana ya identity iliyo mbele kwenye mpangilio inaweza kuishinda kabisa. Angalia show nat detail na mpangilio wa sehemu kabla ya kudhani kanuni yako ndiyo inayolingana.

PAT ya kiolesura pia inamaanisha mshirika huona anwani ya kiolesura cha ASA, ambayo inaweza kutafsiriwa tena juu. Ikiwa mkataba unataja anwani, ithibitisha kutoka mwanzo hadi mwisho na si kwa hatua moja.

Thibitisha kwa lengwa sahihi la jaribio

Tumia mwenyeji wa mshirika mwenyewe, si ukurasa wa jumla wa what-is-my-ip. Ukurasa huo uko nje ya orodha ya split karibu bila shaka, kwa hivyo huripoti anwani yako ya ndani ya intaneti na hausemi chochote kuhusu njia hii. Fungua muunganisho mpya kwa huduma ya mshirika na uwaulize ni chanzo gani waliona, au endesha packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed na usome hatua za NAT na uelekezaji mstari kwa mstari. Traceroute kutoka kwa mteja ni ukaguzi hafifu zaidi, kwa sababu huonyesha njia iliyotokea tayari, si sera iliyoichagua.

Kisha angalia kile ambacho hakipaswi kubadilika. Tovuti ya kawaida bado inapaswa kutoka kwenye muunganisho wa ndani, na rasilimali ya kibinafsi kwenye orodha ya handaki bado inapaswa kufikiwa. Mabadiliko yanayotengeneza mshirika na kuvunja mojawapo ya hayo mawili ni hitilafu nyingine.

Toleo linalofanya kazi la muundo huu ni fupi: mwenyeji mmoja katika ACL ya split, ruhusa ya hairpin, kanuni moja ya PAT iliyozuiwa kwa lengwa. Kila kingine katika hadithi ni hadithi potofu.