ASA VPN hairpin: ஒரு இடைமுகம் வழியாக இரண்டு சுரங்கங்களை வழிமாற்றுதல்

ஒரு தொலைவு பயனர் ASA உடன் இணைந்து, ஒரு கிளைக்குப் பின்னால் உள்ள ஹோஸ்ட்டைக் கேட்கிறார், ASA அந்தக் கோரிக்கையைப் பயனர் வந்த அதே இடைமுகம் வழியாகவே வெளியே அனுப்புகிறது. இதில் எதற்கும் இரண்டாவது இயற்பியல் துறைமுகம் தேவையில்லை. தேவையானது நான்கு சுயாதீன முடிவுகள், அவற்றை மக்கள் பொதுவாக ஒன்றாக இணைக்கின்றனர்: hairpin செய்வதற்கான அனுமதி, சரியான முகவரிகளைப் பாதுகாக்கும் சுரங்கம், நீங்கள் வாக்குறுதி அளித்த மூலத்தைப் பாதுகாக்கும் NAT கொள்கை, மற்றும் சேவையை அங்கீகரிக்கும் அணுகல் கொள்கை.

ஒரு தொகுப்பு, இரண்டு சுரங்கங்கள்

பாய்வைப் பின்தொடருங்கள், செயல்பாடுகளின் வரிசை புதிராக இருப்பது நிற்கிறது. தொகுப்பு தொலைவு அணுகல் சுரங்கத்திற்குள் வந்து, மறைகுறியாக்கம் நீங்கி, வாடிக்கையாளர் குளத்திலிருந்து மூலத்தைக் கொண்ட சாதாரண IP தொகுப்பாகிறது. பின்னர் ASA அதை வழிமாற்றி, தளம்-க்கு-தளம் crypto ACL உடன் பொருத்தி, மீண்டும் குறியாக்கம் செய்து, வெளி இடைமுகம் வழியாகக் கிளையை நோக்கி அனுப்புகிறது.

கீழே உள்ள முகவரிகள் உதாரணமானவை, ஆனால் வடிவம் முக்கியம்: மூலம் குளம், ASA இன் உள் LAN அல்ல.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

இதிலிருந்து இரண்டு விஷயங்கள் வருகின்றன. வாடிக்கையாளருக்குத் தன் தொலைவு அணுகல் இணைப்பின் வழியாகக் கிளையின் முன்னொட்டுக்கு ஒரு வழி தேவை, அதாவது split-tunnel அல்லது தள்ளப்படும் வழிப் பட்டியலில் அது இடம்பெற வேண்டும். மேலும் கிளை போக்குவரத்தை 10.77.0.20 க்கு அல்லது உங்கள் NAT வடிவமைப்பு மாற்றிய முகவரிக்கு எப்படித் திருப்பி அனுப்புவது என்று தெரிந்திருக்க வேண்டும்.

hairpin அனுமதி உலகளாவியது

மக்கள் நாடும் கட்டளை same-security-traffic permit intra-interface ஆகும். இது போக்குவரத்தை அதே இடைமுகத்தில் உள்ளே வரவும் வெளியேறவும் அனுமதிக்கிறது, இந்தப் பாதைக்குத் தேவையானது அதுவே. இது உலகளாவிய அமைப்பும் கூட: இதை இயக்குவது அதே இடைமுகத்தை இரண்டு முறை கடக்கும் பிற பாய்வுகளின் நடத்தையை மாற்றுகிறது.

அதனால்தான் இது பிழைத்திருத்த அமர்வை விட மாற்றப் பதிவில் இடம்பெற வேண்டும். சாதனத்தில் வேறு எது இப்போது அதே இடைமுகத்தின் பாதையை எடுக்கலாம், அவற்றில் ஏதேனும் எடுக்க வேண்டுமா என்று கேளுங்கள். விருந்தினர் பிணையங்கள் அல்லது ஒன்றின் மேல் ஒன்று படியும் கூட்டாளர் சுரங்கங்கள் உள்ள பரபரப்பான விளிம்பில் பதில் தானாகவே இல்லை என்பதல்ல. அமைப்பின் அருகில் காரணத்தை எழுதுங்கள், ஏனெனில் அடுத்த பொறியாளர் கட்டளையைக் கண்டுபிடிப்பார், உரையாடலை அல்ல.

பாதுகாப்பு எல்லையும் NAT உம் தனித்தனி

தளம்-க்கு-தளம் சுரங்கம் தன் crypto ACL தேர்ந்தெடுப்பதைப் பாதுகாக்கிறது. அந்த ACL மூலமாக ASA இன் உள் துணை வலையத்தைக் குறிப்பிட்டால், தொலைவு அணுகல் குளம் பாதுகாக்கப்படாது, பொருந்தாத போக்குவரத்திற்கான தளத்தின் நடத்தையைப் பொறுத்து தொகுப்பு நிராகரிக்கப்படும் அல்லது வெளிப்படையாக அனுப்பப்படும். வடிவமைப்பு குளத்தின் முகவரிகளைப் பாதுகாக்கும்போது குளத்தைப் பாதுகாக்கப்பட்ட பாய்வில் சேர்க்கவும்.

பின்னர் NAT குளத்தின் முகவரி தப்பிப்பிழைக்குமா என்று முடிவு செய்கிறது. Identity NAT அதை வைத்திருக்கும், கிளை 10.77.0.20 ஐ மூலமாகக் காணும். மொழிபெயர்ப்பு ஒப்பந்தத்தை மாற்றுகிறது: கிளை இப்போது மொழிபெயர்க்கப்பட்ட முகவரிக்குப் போக்குவரத்தைத் திருப்பி அனுப்புகிறது, அதன் சொந்தக் கொள்கை அதை ஏற்க வேண்டும். விதிகளின் வரிசை crypto ACL மொழிபெயர்ப்புக்கு முன் அல்லது பின் பொருந்துமா என்பதைத் தீர்மானிக்கிறது, எனவே எது வெல்லும் என்று ஊகிப்பதற்குப் பதிலாக உண்மையான பாய்வைப் படியுங்கள்.

ஒரு கடப்பு நிகழ்வு வேலை செய்ய பொதுவான இணைய PAT விதிகளை நீக்க வேண்டாம். இலக்கு விலக்கு அல்லது வேண்டுமென்றே அமைக்கப்பட்ட identity விதி, வெளிச் செல்லும் கொள்கையில் ஒரு துளை ஏற்படுத்துவதை விட விளக்கவும் திரும்பப் பெறவும் எளிதானது.

குறியாக்கம் அங்கீகாரம் அல்ல

வேலை செய்யும் சுரங்கம் இரு தரப்பினரும் விசைகள் மற்றும் தேர்விகளில் உடன்படுகிறார்கள் என்பதை மட்டுமே நிரூபிக்கிறது. இந்தப் பயனர் அந்தச் சேவையை அடைய முடியுமா என்பதைப் பற்றி எதுவும் கூறவில்லை. தொலைவு அணுகல் இணைப்புடன் இணைக்கப்பட்ட VPN வடிகட்டி அல்லது குழுக் கொள்கை இன்னும் கிளையின் இலக்கையும் துறைமுகத்தையும் அனுமதிக்க வேண்டும், வெளிப் பாதையின் இடைமுக ACL இன்னும் பொருந்தும்.

பதிலை இரு திசைகளிலும் சோதியுங்கள். அடுத்த சேவை தோல்வியடைய வேண்டியிருக்கும் நிலையில் வெற்றிபெறும் இணைப்பு, ஒரு வெற்றிகரமான ping ஐ விட அதிக தகவல் தருகிறது, ஏனெனில் கொள்கை முழுவதும் திறந்ததல்ல, தேர்ந்தெடுக்கப்பட்டது என்பதைக் காட்டுகிறது. தடுக்கப்பட வேண்டிய சோதனை வெற்றிபெற்றால், குற்றம் சுரங்கத்தின் மீது அல்ல; கொள்கையின் மீது. இரு முடிவுகளையும் மாற்றப் பதிவில் வைத்திருங்கள், அடுத்த நபர் எந்த நடத்தை நோக்கமாக இருந்தது என்பதை அறிய வேண்டும்.

hairpin அல்லது இரண்டாவது இடைமுகம்

hairpin கடப்பு வடிவமைப்பைச் சிறியதாக வைத்து ஒரு உலகளாவிய அமைப்பை மட்டுமே செலவாக்குகிறது. தனி இடைமுகம், அல்லது தனது சொந்த மெய்நிகர் இடைமுகத்துடன் கூடிய வழி அடிப்படையிலான சுரங்கம், கடப்புப் பாதையைத் தனிமைப்படுத்தி இடைமுகத்திற்கு ஒரு கொள்கையைத் தருகிறது, முகவரியிடல் மற்றும் மற்றொரு crypto map அல்லது சுயவிவரத்தின் விலையில். எதுவும் மிகச் சரியானது அல்ல; அவை வெவ்வேறு வழிகளில் தோல்வியடைகின்றன.

வழி அடிப்படையிலான வடிவமைப்புகள் வேறு ஏற்பாடு, அதே உள்ளமைவில் உள்ள ஒரு தேர்வுப்பெட்டி அல்ல. நீங்கள் அதற்கு மாறினால், மேலே உள்ள கொள்கை அடிப்படையிலான crypto ACL விவாதம் பொருந்தாது, வழிமாற்று அட்டவணை தேர்வு வேலையைத் தொடங்குகிறது.

உண்மையான வாடிக்கையாளரிடமிருந்து சரிபார்க்கவும்

ASA இலிருந்து தொடங்கப்பட்ட ஆய்வுக்கு வேறு மூல முகவரி இருக்கும், அது குளம்-க்கு-கிளை பாதையைப் பயன்படுத்தாது. ஐந்து-கூறுகளைச் சரிபார்க்க packet-tracer பயன்படுத்துங்கள், பின்னர் உண்மையான தொலைவு வாடிக்கையாளரிடமிருந்து உண்மையான இணைப்பைத் திறங்கள், ஏனெனில் கண்டறிவான் அனுகரிக்கிறது, வாடிக்கையாளரின் சொந்த வழிமாற்றையும் கொள்கையையும் மாற்றாது.

திட்டமிட்ட மாற்றத்திற்குப் பிறகு வேலை செய்ய வேண்டிய சேவையுடன் இணையுங்கள், பின்னர் நிராகரிக்கப்பட வேண்டிய சேவையுடன், பின்னர் கிளையின் திரும்பும் வழியை உறுதிசெய்யுங்கள். Cisco இன் VPN hairpin NAT எடுத்துக்காட்டுகள் intra-interface அனுமதி, NAT மற்றும் ACL ஆகியவற்றைக் கண்கூடாகத் தனித்தனியாக வைத்திருக்கின்றன, அதுவே பிரதி எடுக்கத் தகுந்த மனப் படிமம்.