ஸ்ப்லிட் டன்னல் ஒரு பொது ஹோஸ்ட்டை ASA இன் NAT விதிகளிலிருந்து விலக்குவதில்லை

ஸ்ப்லிட் டன்னலிங் பொதுவாக நிறுவன ட்ராஃபிக்கை டன்னலுக்குள் வைத்திருக்கவும், மீதமுள்ள இணையத்தை ஃபயர்வாலுக்கு வெளியே வைத்திருக்கவும் ஒரு வழியாக விவரிக்கப்படுகிறது. அந்த விவரணத்தின் இரு பகுதிகளும் ஒரே விதமாகத் தவறானவை. ஸ்ப்லிட் டன்னலிங் என்பது கிளையண்ட் எடுக்கும் வழி முடிவு, மேலும் வழி முடிவு பாக்கெட் headend-ஐ அடைந்த பிறகு என்ன நடக்கிறது என்பதைப் பற்றி எதுவும் கூறாது.

உங்கள் தலைமையக முகவரியைப் பார்க்க வேண்டும் என்று வலியுறுத்தும் பொது முகவரியில் உள்ள ஒரே கூட்டாளர் சேவை இந்தக் கதையை உடைக்கப் போதுமானது.

கட்டுக்கதை: ஸ்ப்லிட் டன்னல் ஃபயர்வாலைப் பாதையிலிருந்து அகற்றுகிறது

தனியார் வரம்புகளுக்கு வெளியே உள்ள எந்த இலக்கும் உள்ளூர் இணைய இணைப்பிலேயே தங்கிவிடும், எனவே ஃபயர்வால் அதை ஒருபோதும் பார்ப்பதில்லை, அதற்கு ஒருபோதும் விதி தேவைப்படுவதில்லை என்பதே நம்பிக்கை. இலக்கு டன்னல் பட்டியலில் இல்லாத வரை மட்டுமே இது உண்மை. ஒரு ஆபரேட்டர் பொது ஹோஸ்ட்டை split-include ACL-இல் சேர்க்கும் தருணத்தில், கிளையண்ட் அந்த ட்ராஃபிக்கை டன்னலுக்குள் அனுப்புகிறது, ASA அதை மற்ற டிக்ரிப்ட் செய்யப்பட்ட ஓட்டத்தைப் போலவே வழிப்படுத்தி, வடிகட்டி, மொழிபெயர்க்க வேண்டும். கிளையண்டில் இலக்கு பட்டியலைத் தவிர வேறு எதுவும் மாறவில்லை.

கிளையண்ட் ஒரு ரௌட்டராக மாறவில்லை. நீங்கள் கொடுத்த கொள்கையையே பின்பற்றியது.

split-include வழி உண்மையில் என்ன செய்கிறது

Cisco ASA தொலை அணுகல் அமைப்பில் குழு கொள்கை split-tunnel-policy tunnelspecified மற்றும் நிலையான ACL-ஐப் பெயரிடும் split-tunnel-network-list ஆகியவற்றைக் கொண்டுள்ளது. அந்த ACL-இல் உள்ள ஒவ்வொரு permit வரியும் கிளையண்ட் டன்னலுக்குள் அனுப்ப வேண்டிய இலக்கு, மற்ற அனைத்தும் உள்ளூர் இயல்புநிலை வழியைத் தொடர்ந்து பயன்படுத்துகின்றன.

ஒரு ஹோஸ்ட்டைச் சேர்ப்பது ஒரே வரி, கிளையண்ட் பார்க்கக்கூடிய மாற்றத்தின் ஒரே பகுதி அதுவே: access-list RA-SPLIT standard permit host 203.0.113.20.

அதன் பிறகு கிளையண்டை மீண்டும் இணைக்கவும். கொள்கை இணைப்பின் போது பரிமாறப்படுகிறது, எனவே நிறுவப்பட்ட அமர்வு பழைய பட்டியலை வைத்துக்கொண்டு மாற்றம் எதுவும் செய்யாதது போலத் தோற்றமளிக்கும்.

பாக்கெட் அதே இடைமுகத்தில் வந்து செல்கிறது

இப்போது டிக்ரிப்ஷனுக்குப் பிறகு ஓட்டத்தைப் பின்தொடரவும். பாக்கெட் VPN டன்னல் வழியாக வெளிப்புற இடைமுகத்தில் வந்தது, அதன் இலக்கு ஒரு பொது முகவரி, ரூட்டிங் அட்டவணை அதை அதே வெளிப்புற இடைமுகம் வழியாக மீண்டும் இணையத்தை நோக்கி அனுப்புகிறது. ஒரு இடைமுகத்தில் வந்து செல்லும் ட்ராஃபிக் ASA அனுமதிக்காவிட்டால் நிராகரிக்கப்படும், same-security-traffic permit intra-interface அதைத்தான் செய்கிறது. அது இல்லாமல் இணைப்பு ரூட்டிங் பிரச்சினை போலத் தோற்றமளிக்கும் விதத்தில் தோல்வியடைகிறது, ஆனால் அதுவல்ல.

அந்த அமைப்பு உலகளாவியது. தேவைப்படும் ஒவ்வொரு ஓட்டத்திற்கும் ஹேர்பின்னிங்கை அனுமதிக்கிறது, இந்த கூட்டாளர் ஹோஸ்ட்டுக்கு மட்டுமல்ல, எனவே இது விரைவான சோதனைக்கல்ல, மதிப்பாய்வு செய்யப்பட்ட மாற்றத்திற்குரியது.

இலக்கு-வரையறுக்கப்பட்ட PAT ஏன் விருப்பத்தேர்வு அல்ல

டிக்ரிப்ட் செய்யப்பட்ட பாக்கெட்டின் மூல முகவரி இன்னும் கிளையண்டின் VPN முகவரியே, பொதுவாக 10.77.0.0/24 போன்ற குளத்திலிருந்து. அந்த முகவரிக்கு பொது இணையத்தில் வழி இல்லை, எனவே கூட்டாளர் ஒருபோதும் பதிலளிக்காது அல்லது எங்கும் பதிலளிக்காது.

மொழிபெயர்ப்பு மூலத்தைச் சரிசெய்து இலக்கைத் தொடாமல் விடுகிறது. பொருள்கள் ஏற்கனவே வேறு இடத்தில் வரையறுக்கப்பட்டிருப்பதால், இந்த இலக்குக்கு வரையறுக்கப்பட்ட கைமுறை விதி இந்த வடிவத்தைக் கொண்டுள்ளது:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

destination static பகுதி முக்கியம். அதை விட்டுவிட்டால் விதி நோக்கத்தை விட மிக அதிக ட்ராஃபிக்குடன் பொருந்தக்கூடிய பரந்த மொழிபெயர்ப்பாக மாறும், மேலும் வரிசையில் முந்தைய பரந்த identity விதி இதை முழுமையாக வெல்ல முடியும். உங்கள் விதியே பொருந்துவது என்று கருதுவதற்கு முன் show nat detail மற்றும் பிரிவுகளின் வரிசையைச் சரிபார்க்கவும்.

இடைமுக PAT என்பது கூட்டாளர் ASA இன் இடைமுக முகவரியைப் பார்க்கிறார் என்பதையும் குறிக்கிறது, அது மேல்நோக்கி மீண்டும் மொழிபெயர்க்கப்படலாம். ஒப்பந்தம் ஒரு முகவரியைப் பெயரிட்டால், அதை ஒரு ஹாப்பில் அல்ல, தொடக்கத்திலிருந்து இறுதி வரை உறுதிப்படுத்தவும்.

சரியான சோதனை இலக்குடன் அதை நிரூபிக்கவும்

பொதுவான what-is-my-ip பக்கத்தை அல்ல, கூட்டாளர் ஹோஸ்ட்டையே பயன்படுத்தவும். அந்தப் பக்கம் கிட்டத்தட்ட நிச்சயமாக split பட்டியலுக்கு வெளியே உள்ளது, எனவே உங்கள் உள்ளூர் இணைய முகவரியைப் புகாரளிக்கிறது, இந்தப் பாதையைப் பற்றி எதுவும் கூறுவதில்லை. கூட்டாளர் சேவைக்கு புதிய இணைப்பைத் திறந்து அவர்கள் கவனித்த மூலத்தைக் கேளுங்கள், அல்லது packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed இயக்கி NAT மற்றும் ரூட்டிங் நிலைகளை வரிக்கு வரி படியுங்கள். கிளையண்டிலிருந்து traceroute பலவீனமான சரிபார்ப்பு, ஏனெனில் அது ஏற்கனவே நடந்த பாதையைக் காட்டுகிறது, அதைத் தேர்ந்தெடுத்த கொள்கையை அல்ல.

பின்னர் எது மாறக்கூடாது என்று சரிபார்க்கவும். சாதாரண இணையதளம் இன்னும் உள்ளூர் இணைப்பிலிருந்து வெளியேற வேண்டும், டன்னல் பட்டியலில் உள்ள தனியார் ஆதாரம் இன்னும் அணுகக்கூடியதாக இருக்க வேண்டும். கூட்டாளரைச் சரிசெய்து இவற்றில் ஒன்றை உடைக்கும் மாற்றம் வேறு ஒரு பிழை.

இந்த வடிவமைப்பின் வேலை செய்யும் பதிப்பு சுருக்கமானது: split ACL-இல் ஒரு ஹோஸ்ட், ஹேர்பின் அனுமதி, இலக்கு-வரையறுக்கப்பட்ட ஒரு PAT விதி. கதையில் மீதமுள்ள அனைத்தும் கட்டுக்கதை.