VPN போக்குவரத்துக்கான ASA identity NAT மற்றும் IOS NAT விலக்கு

ஒரு கிளை ஒரே Cisco நுழைவாயிலில் இணைய PAT மற்றும் தளம்-தளம் VPN இயக்குகிறது, NAT சேர்க்கப்பட்ட நொடியில் VPN வேலை செய்வதை நிறுத்துகிறது. சுரங்கப்பாதையின் உள்ளே உள்ள முகவரிகள் crypto ACL பாதுகாப்பவற்றுடன் இனி பொருந்துவதில்லை, அல்லது எதிர்ப்பக்கம் பாதை இல்லாத மொழிபெயர்க்கப்பட்ட முகவரிகளைக் காண்கிறது. Cisco இதை இரண்டு இடங்களில் தீர்க்கிறது: ASA முகவரியை அதற்கே பொருத்தும் NAT விதியைத் தேர்ந்தெடுக்கிறது, IOS ஆனால் ACL இல் deny மூலம் ஓட்டத்தை மொழிபெயர்ப்பு விதிக்கு வெளியே வைக்கிறது. இரண்டும் அசல் முகவரிகளைத் தக்கவைக்கின்றன, எதுவும் NAT செயலாக்கத்தைத் தவிர்க்கவில்லை.

விதியைத் தேர்ந்தெடுப்பதற்கு முன் ஓட்டத்தைப் பதிவு செய்யுங்கள்

நீங்கள் பாதுகாக்க விரும்பும் ஓட்டத்தை எழுதுவதன் மூலம் தொடங்குங்கள்: உள்ளூர் LAN மூலம், தொலை இலக்கு மற்றும் IPsec கொள்கை பாதுகாக்கும் சரியான முகவரி இணை. விதியைத் திருத்தும் முன் இதைச் செய்யுங்கள், ஏனெனில் இந்தத் தொகுப்பு எந்த வகைப்படுத்தி அல்லது NAT விதி பொருந்தியிருக்க வேண்டும் என்பதைக் காட்டுகிறது.

பிறகு நீங்கள் நினைத்த விதியை அல்ல, உண்மையில் பொருந்திய விதியைக் கண்டறியுங்கள். இரண்டு தளங்களிலும் NAT ஒரு வரிசையில் மதிப்பிடப்படுகிறது, உங்கள் விலக்கு பரிசீலிக்கப்படுவதற்கு முன் முந்தைய விதி வெல்லலாம். சரியாகத் தெரியும் ஆனால் மற்றொரு விதியிடம் தோற்கும் விலக்கு எதிர்பார்க்கப்பட்ட பொதியை பாதுகாப்புக் கொள்கைக்கு ஒருபோதும் ஒப்படைக்காது. அறிகுறி விலக்கு இல்லாததைப் போலவே இருக்கும், எனவே உள்ளமைவை மாற்றுவதற்கு முன் விதிகளின் வரிசையைப் படிக்க வேண்டும்.

ASA identity NAT ஒரு விதி, தவிர்ப்பு அல்ல

ASA இல் identity NAT என்பது மொழிபெயர்க்கப்பட்ட முகவரி அசலுக்குச் சமமாக இருக்கும் NAT விதி. இது மற்ற எந்த விதியையும் போலவே தேர்ந்தெடுக்கப்படுகிறது, இன்னும் மொழிபெயர்ப்புப் பதிவை நிறுவுகிறது, எனவே பொதி NAT செயலாக்கத்தைத் தவிர்க்கவில்லை. மாறுவது என்னவென்றால், வலையமைப்பில் முகவரிகள் அப்படியே இருக்கின்றன, IPsec கொள்கைக்கு அதுவே தேவை.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

விதியின் இடைமுகங்களும் அதன் route-lookup அமைப்பும் அனுப்பும் வடிவமைப்புடன் பொருந்த வேண்டும். முகவரியைச் சரியாகப் பொருத்தும் ஆனால் தவறான இடைமுக இணையில் பயன்படுத்தப்படும் விதி உங்கள் ஓட்டத்திற்குத் தேர்ந்தெடுக்கப்படாது. Route-lookup மொழிபெயர்க்கப்பட்ட பொதி வழியமைக்கப்படுமா அல்லது அசல் இலக்கு பயன்படுத்தப்படுமா என்பதை முடிவு செய்கிறது, திரும்பும் போக்குவரத்து சுரங்கப்பாதை வழியாக வருமா என்பதையும் அதுவே தீர்மானிக்கிறது.

ASA-வுக்கே நிர்வாக அணுகல் தனி வழக்கு. நிர்வாகப் போக்குவரத்துக்கு identity NAT பயன்படுத்தினால், வெளியீட்டைச் சார்ந்த route-lookup தேவை பொருந்தும், VPN எடுத்துக்காட்டிலிருந்து நகலெடுத்த பரந்த விலக்கு SSH-ஐச் சரிசெய்யாது.

IOS NAT ACL இல் deny என்பது இங்கே தேர்ந்தெடுக்கப்படவில்லை

IOS இல் இணைய NAT மூலப் பட்டியலால் இயக்கப்படுகிறது, அந்த ACL வடிகட்டி அல்ல, வகைப்படுத்தி. Permit வரி மொழிபெயர்ப்புக்குப் போக்குவரத்தைத் தேர்ந்தெடுக்கிறது; deny வரி பொதி இங்கே தேர்ந்தெடுக்கப்படவில்லை என்று பொருள். அந்த deny இடைமுக ACL இல் deny போல பொதியை வீசும் கட்டளை அல்ல.

இங்கே தேர்ந்தெடுக்கப்படவில்லை என்பது எங்கும் மொழிபெயர்க்கப்படவில்லை என்பதை விடவும் குறுகியது. மற்றொரு NAT விதி, மற்றொரு இடைமுகம் அல்லது route-map இன்னும் ஓட்டத்தை மொழிபெயர்க்கலாம், எனவே முழு NAT அட்டவணையையும் படிக்க வேண்டும். பொதிக்கு இன்னும் பாதை, பொருந்தும் crypto ACL மற்றும் உண்மையான அணுகல் கட்டுப்பாட்டு எல்லைகளில் அனுமதி தேவை.

குறைந்தபட்ச IOS ஏற்பாடு deny-ஐ அதே பட்டியலில் permit-க்கு மேலே வைத்து overload விதியை அந்தப் பட்டியலுக்குத் திருப்புகிறது. அப்போது crypto ACL deny மொழிபெயர்ப்பிலிருந்து விலக்கும் அதே இணையைப் பாதுகாக்கிறது.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

இரு மாதிரிகளுக்கும் ஒரு சோதிக்கத்தக்க கேள்வி

இரு மாதிரிகளும் ஒரே கேள்விக்குப் பதிலளிக்கின்றன: எந்த விதி இந்த ஓட்டத்துடன் பொருந்தியது, எந்த முகவரிகள் இடைமுகத்தை விட்டுச் சென்றன? வெளி இடைமுகத்தில் பதிவு செய்து நுழைவாயிலுக்கு முன்னும் பின்னும் மூல முகவரியை ஒப்பிடுங்கள். பிறகு சுரங்கப்பாதை குறித்து எதிர்ப்பக்கத்தின் பார்வையைச் சரிபாருங்கள், ஏனெனில் SA உயர்ந்திருக்கும்போதே பாதுகாக்கப்பட்ட ஓட்டம் வேறெங்கோ மொழிபெயர்க்கப்படலாம்.

ASA இல் nat detail மற்றும் மொழிபெயர்ப்பு அட்டவணையைக் காட்டுங்கள்; IOS இல் ip nat translations மற்றும் தொடர்புடைய ACL எண்ணிகளைக் காட்டுங்கள். ஒருபோதும் வளராத விதி ஒருபோதும் தேர்ந்தெடுக்கப்படவில்லை, அது crypto உள்ளமைவை அல்ல, வரிசை, இடைமுகம் அல்லது திசையைச் சுட்டுகிறது.

உள்ளமைவு பொதுவாக எங்கு தவறுகிறது

பொதுவான தோல்விகள் இயந்திரவியல். deny permit-க்குக் கீழே உள்ளது, ஒருபோதும் பொருந்தாது. வகைப்படுத்தி தவறான திசையில் பயன்படுத்தப்படுகிறது, எனவே திரும்பும் ஓட்டம் மொழிபெயர்க்கப்படுகிறது. Identity விதி சரியான முகவரிகளை ஆனால் தவறான இடைமுக இணையைக் கவர்கிறது. Crypto ACL இப்போது NAT விதி வழங்குவதுடன் பொருந்தாத துணை வலையமைப்பைப் பாதுகாக்கிறது.

அசல் மற்றும் வழங்கப்பட்ட முகவரி இணையை விதியின் உரிமையாளருக்கு அருகில் பதிவு செய்யுங்கள், அடுத்த பொறியாளர் வகைப்படுத்தி ஏன் மொழிபெயர்ப்பை மறுக்கிறது ஆனால் ஃபயர்வால் பயன்பாட்டை அனுமதிக்கிறது என்பதைக் காண்பார். அதைத் தனிப்பட்ட குறிப்பில் அல்ல, மாற்றச் சீட்டில் வைத்திருங்கள். பிறகு எந்த NAT மாற்றத்துக்கும் பின் ஓட்டத்தை மீண்டும் இயக்குங்கள், ஏனெனில் விதியின் உரை மாறாவிட்டாலும் விதிகளின் வரிசை உள்ளமைவின் பகுதியாகும். எழும் சுரங்கப்பாதை முகவரிகள் தப்பிப் பிழைத்ததற்கான சான்று அல்ல; பதிவு செய்யப்பட்ட பொதியும் எதிர்ப்பக்கத்தின் மறைகுறியீட்டுக்குப் பின் பார்வையும் மட்டுமே சான்று.