ASA hairpin: இணைய வெளியேற்றமா அல்லது தள-க்கு-தள VPN காலா?

ஒரே ASA-க்குப் பின்னால் உள்ள இரண்டு தொலை அணுகல் பயனர்கள் ஒரே வெளிப்புற இடைமுகத்திலிருந்து போக்குவரத்தை அனுப்பி முற்றிலும் வேறுபட்ட நடத்தையைப் பெறலாம். ஒருவர் பொது வலைத்தளத்திற்குச் செல்கிறார், எனவே பாக்கெட்டுக்கு மூல மொழிபெயர்ப்பு மற்றும் இணைய வழி தேவை. மற்றவர் அதே இடைமுகத்தில் முடியும் தள-க்கு-தள சுரங்கப்பாதைக்குப் பின்னால் உள்ள சேவையகத்திற்குச் செல்கிறார், எனவே பாக்கெட்டுக்கு அடையாளம், பொருந்தும் சுரங்கத் தேர்வி மற்றும் வாடிக்கையாளர் குழுவுக்குத் திரும்பும் வழி தேவை. ஒரே இடைமுகத்திற்கான அனுமதி இரண்டிற்கும் முன்நிபந்தனை மற்றும் எதற்கும் தீர்வு அல்ல.

இரண்டு கால்கள், ஒரு இடைமுகம்

NAT விதியை எழுதுவதற்கு முன் நீங்கள் எந்தக் காலைக் கட்டுகிறீர்கள் என்பதை முடிவு செய்யுங்கள், ஏனெனில் விதிகள் ஒன்றுக்கொன்று மாற்றக்கூடியவை அல்ல. கால் A வாடிக்கையாளரிலிருந்து இணையம்: குழு முகவரி உள்ளே, மொழிபெயர்க்கப்பட்ட பொது முகவரி வெளியே, அதே இடைமுகம் வழியாகத் திரும்புகிறது. கால் B வாடிக்கையாளரிலிருந்து மற்றொரு IPsec கூட்டாளியின் எதிர்ப்பக்கத்தில் உள்ள தனிப்பட்ட முன்னொட்டுக்கு: குழு முகவரி பாதுகாக்கப்பட்டு, மீண்டும் மறையாக்கப்பட்டு, குழுவுக்கு எவ்வாறு பதிலளிப்பது என்று தெரிந்த கூட்டாளிக்கு வழங்கப்படுகிறது.

இரண்டிற்கும் முதலில் தேவையானது அதே இடைமுகத்திற்கான அனுமதி. அது இல்லாமல் ASA பாக்கெட் வந்த இடைமுகத்திலிருந்து அதை அனுப்ப மறுக்கிறது, தோல்வி கொள்கை பிரச்சினை போலல்லாமல் வழித்தடப் பிரச்சினை போலத் தெரிகிறது:

same-security-traffic permit intra-interface

அந்த ஒரு வரி அனுப்பும் அமைப்புக்கு அனுமதி அளிக்கிறது, எப்படி ASA NAT குறிப்பு ஒரே இடைமுக வழிகளுக்கு விவரிக்கிறது. அது வாடிக்கையாளர் வழியைச் சேர்ப்பதில்லை, வளத்திற்கு அனுமதி அளிப்பதில்லை, முகவரியை மொழிபெயர்ப்பதில்லை அல்லது IPsec தேர்வியைப் பற்றிப் பேச்சுவார்த்தை நடத்துவதில்லை, எனவே அதன் பிறகு மேலும் மூன்று அல்லது நான்கு விஷயங்களைச் சேர்க்க வேண்டும் என்று எதிர்பார்த்து, அதன் ஏற்பை முன்னேற்றமாகப் படிக்க வேண்டாம்.

கால் A: வாடிக்கையாளருக்கு இணையம் தேவை

இணைய வெளியேற்றத்திற்கு, பாக்கெட் சாதனத்தை விட்டு வெளியேறுவதற்கு முன் குழு முகவரி தனிப்பட்டதாக இருப்பதை நிறுத்த வேண்டும். சாதாரண PAT வடிவமைப்பில் விதி குழுவை வெளிப்புற இடைமுக முகவரியாக மொழிபெயர்க்கிறது, திரும்பும் நிலை வாடிக்கையாளர் நோக்கிய ஓட்டத்தை மீட்டெடுக்கிறது:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

பிறகு வாடிக்கையாளர் உண்மையிலேயே அந்தப் போக்குவரத்தைச் சுமக்க ASA-வைக் கேட்டாரா என்பதை உறுதிப்படுத்துங்கள். பிரிந்த சுரங்க விலக்கு பொது இலக்கை தொலைபேசியின் சொந்த இணைப்பின் வழியாக அனுப்புகிறது, அது ASA-வை அடையவே அடையாது, ஒருபோதும் அனுப்பப்படாத பாக்கெட்டை எந்த NAT விதியும் சரிசெய்யாது. குழுக் கொள்கையின் பிரிந்த சுரங்கப் பட்டியலை நீங்கள் சோதிக்கும் இலக்குடன் ஒப்பிடுங்கள்.

காலின் மீதி சாதாரணமானது: வெளிப்புற இடைமுகத்திலிருந்து பயன்படுத்தக்கூடிய இயல்புநிலை அல்லது குறிப்பிட்ட வழி, ஓட்டத்திற்கு அனுமதி அளிக்கும் அணுகல் கொள்கை, மற்றும் நீங்கள் தேர்ந்தெடுத்த தீர்வி கொள்கையின்படி கையாளப்படும் DNS. இங்கே route-lookup கீழே உள்ள அதே காரணத்திற்காகச் சேர்க்கவும், ஏனெனில் நுழைவு மற்றும் வெளியேற்ற இடைமுகங்கள் ஒரே மாதிரியானவை.

கால் B: வாடிக்கையாளருக்கு தனிப்பட்ட தளம் தேவை

இந்தக் கால் அதிக இடங்களில் தோல்வியடைகிறது, எனவே அதை வரிசையாக எழுதுங்கள். முதலில் வாடிக்கையாளர் வழி: இலக்கு முன்னொட்டு பிரிந்த சுரங்கப் பட்டியலில் இருக்க வேண்டும், இல்லையெனில் வாடிக்கையாளர் அதைச் சுரங்கத்தில் வைக்க மாட்டார். இரண்டாவது சுரங்கத் தேர்வி: தள-க்கு-தள மறையாக்க ACL குழு முகவரியிலிருந்து தொலை முன்னொட்டு வரை உள்ளடக்க வேண்டும், உள்ளூர் LAN-இலிருந்து தொலை முன்னொட்டு வரை மட்டுமல்ல. மூன்றாவது அடையாளம், குழு முகவரி வழியில் இணைய PAT-ஆக மொழிபெயர்க்கப்படாமல் இருக்க.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

தொலைப் பக்கம் மக்கள் சோதிக்க மறக்கும் பகுதி. கூட்டாளிக்கு குழுவுக்குத் திரும்பும் வழியும் அதை உள்ளடக்கும் தேர்வியும் தேவை, மேலும் அதன் சொந்தக் கொள்கை அது காணப்போகும் மூல முகவரிகளுக்கு அனுமதி அளிக்க வேண்டும். தளம் அதற்குப் பதிலாக மொழிபெயர்க்கப்பட்ட பார்வை வழியாகப் பயன்படுத்தப்பட்டால், அது செல்லுபடியாகும் வடிவமைப்பு, ஆனால் அப்போது இரண்டு கூட்டாளிகளும், இரண்டு தேர்விகளும், இரண்டு வழித்தட அட்டவணைகளும் மொழிபெயர்க்கப்பட்ட முகவரிகளில் ஒப்புக்கொள்ள வேண்டும்.

விதிகளின் வரிசையையும் சரிபார்க்கவும். அடையாள விதிக்கு மேலே உள்ள பரந்த PAT விதி அடையாள விதி மதிப்பிடப்படுவதற்கு முன்பே தனிப்பட்ட பரிவர்த்தனையை மொழிபெயர்க்கும், அறிகுறி NAT பிழை அல்ல, பொருந்தும் SA இல்லாத தள சுரங்கப்பாதை.

நீங்கள் எந்தக் காலைக் கட்டினீர்கள் என்பதைச் சொல்லும் சோதனை

கட்டமைப்பைப் படித்து நம்புவதற்குப் பதிலாக ASA-வின் சொந்த வழி மதிப்பீட்டைப் பயன்படுத்துங்கள். packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed ஒரு ஓட்டத்திற்கான NAT முடிவு, வழி மற்றும் ACL முடிவைக் காட்டுகிறது; தனிப்பட்ட இலக்குடன் அதை மீண்டும் செய்யுங்கள். NAT கட்டம் தனிப்பட்ட-முதல்-தனிப்பட்ட ஓட்டத்தை மீண்டும் எழுதினால், கால் B தேவைப்பட்ட பாக்கெட்டுக்கு நீங்கள் கால் A கட்டியுள்ளீர்கள்.

மேலும் இரண்டு கட்டளைகள் இடைவெளியை மூடுகின்றன. show nat detail packet-tracer பின்பற்றிய விதி வரிசையை அச்சிடுகிறது, மற்றும் show crypto ipsec sa நீங்கள் எதிர்பார்க்கும் ஜோடிக்கு தேர்வி உள்ளதா என்பதைக் காட்டுகிறது. இல்லாத SA என்பது தேர்வி அல்லது கூட்டாளி கட்டமைப்பின் விஷயம், NAT விதி சரிசெய்யக்கூடிய ஒன்று அல்ல.

ஒவ்வொரு காலையும் அது சேவை செய்யும் போக்குவரத்தால் சரிபார்க்கவும்

கால் A-வை வாடிக்கையாளரின் சாதாரண பொது கோரிக்கையுடன் ஏற்றுக்கொள்ளுங்கள், கால் B-வை உண்மையில் இருக்கும் தனிப்பட்ட வளத்திற்கான கோரிக்கையுடன் ஏற்றுக்கொள்ளுங்கள். பிறகு ஒவ்வொன்றையும் மறுக்கப்பட்ட வளத்துடன் மீண்டும் செய்யுங்கள், ஏனெனில் “அனுமதிக்கப்பட்டது” மற்றும் “அணுகல் கொள்கையால் அங்கீகரிக்கப்பட்டது” ஒரே சான்று அல்ல, மேலும் மையத்திலிருந்து எழும் ping வாடிக்கையாளர் பாதைகளில் எதையும் பயிற்சி செய்யவில்லை.

டிக்கெட்டில் இரண்டு சோதனைப் பதிவுகளையும் தனித்தனியாக வைத்திருங்கள்: மூல முகவரி, இலக்கு, பொருந்திய NAT விதி மற்றும் முடிவு. அடுத்த அறிக்கை “VPN உடைந்துவிட்டது” என்று சொல்லும்போது, அந்த ஜோடி ஒரு நிமிடத்தில் எந்தக் கால் பின்வாங்கியது என்பதைச் சொல்லும், பதில் பொதுவாக ஒரு வழி அல்லது தேர்வி, எல்லோரும் முதலில் சந்தேகிக்கும் அதே-இடைமுக வரி அல்ல.