ASA hairpin: ఇంటర్నెట్ నిష్క్రమణా లేదా సైట్-టు-సైట్ VPN కాలా?

ఒకే ASA వెనుక ఉన్న ఇద్దరు రిమోట్ యాక్సెస్ వినియోగదారులు ఒకే బయటి ఇంటర్ఫేస్ నుండి ట్రాఫిక్ పంపి పూర్తిగా భిన్నమైన ప్రవర్తన పొందవచ్చు. ఒకరు పబ్లిక్ వెబ్సైట్కు వెళ్తున్నారు, కాబట్టి ప్యాకెట్కు మూల అనువాదం మరియు ఇంటర్నెట్ మార్గం అవసరం. మరొకరు అదే ఇంటర్ఫేస్లో ముగిసే సైట్-టు-సైట్ టన్నెల్ వెనుక ఉన్న సర్వర్కు వెళ్తున్నారు, కాబట్టి ప్యాకెట్కు గుర్తింపు, సరిపోయే టన్నెల్ ఎంపికదారు మరియు క్లయింట్ పూల్కు తిరిగి వచ్చే మార్గం అవసరం. ఒకే ఇంటర్ఫేస్ అనుమతి రెండింటికీ ముందస్తు షరతు మరియు ఏదో ఒకదానికి పరిష్కారం కాదు.

రెండు కాళ్లు, ఒక ఇంటర్ఫేస్

NAT నియమం రాసే ముందు మీరు ఏ కాలు నిర్మిస్తున్నారో నిర్ణయించుకోండి, ఎందుకంటే నియమాలు పరస్పరం మార్చుకోగలవి కావు. కాలు A క్లయింట్ నుండి ఇంటర్నెట్కు: పూల్ చిరునామా లోపలికి, అనువదించిన పబ్లిక్ చిరునామా బయటకు, అదే ఇంటర్ఫేస్ ద్వారా తిరిగి. కాలు B క్లయింట్ నుండి మరొక IPsec భాగస్వామి ఆవలి వైపు ఉన్న ప్రైవేట్ ప్రిఫిక్స్కు: పూల్ చిరునామా భద్రపరచబడి, మళ్లీ గుప్తీకరించబడి, పూల్కు ఎలా సమాధానం ఇవ్వాలో తెలిసిన భాగస్వామికి అందించబడుతుంది.

రెండింటికీ మొదట అవసరమైనది అదే ఇంటర్ఫేస్ అనుమతి. అది లేకుండా ASA ప్యాకెట్ వచ్చిన ఇంటర్ఫేస్ నుండి దాన్ని పంపడానికి నిరాకరిస్తుంది, మరియు వైఫల్యం విధాన సమస్యలా కాకుండా మార్గ సమస్యలా కనిపిస్తుంది:

same-security-traffic permit intra-interface

ఆ ఒకే లైన్ పంపే ఏర్పాటుకు అనుమతి ఇస్తుంది, ఎలా ASA NAT సూచన ఒకే ఇంటర్ఫేస్ మార్గాలకు వివరిస్తుంది. అది క్లయింట్ మార్గాన్ని జోడించదు, వనరుకు అనుమతి ఇవ్వదు, చిరునామాను అనువదించదు లేదా IPsec ఎంపికదారుపై చర్చించదు, కాబట్టి దాని తర్వాత మరో మూడు లేదా నాలుగు విషయాలు జోడిస్తారని ఆశించండి మరియు దాని ఆమోదాన్ని పురోగతిగా చదవకండి.

కాలు A: క్లయింట్కు ఇంటర్నెట్ కావాలి

ఇంటర్నెట్ నిష్క్రమణకు ప్యాకెట్ పరికరాన్ని విడిచిపెట్టే ముందు పూల్ చిరునామా ప్రైవేట్గా ఉండటం ఆపాలి. సాధారణ PAT రూపకల్పనలో నియమం పూల్ను బయటి ఇంటర్ఫేస్ చిరునామాకు అనువదిస్తుంది, తిరిగి వచ్చే స్థితి క్లయింట్ వైపు ప్రవాహాన్ని పునరుద్ధరిస్తుంది:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

తర్వాత క్లయింట్ నిజంగా ఆ ట్రాఫిక్ను మోయమని ASAను కోరారా అని నిర్ధారించండి. విభజిత టన్నెల్ మినహాయింపు పబ్లిక్ గమ్యాన్ని ఫోన్ సొంత కనెక్షన్ ద్వారా పంపుతుంది, అది ASAకు ఎప్పటికీ చేరదు, మరియు ఎప్పుడూ పంపని ప్యాకెట్ను ఏ NAT నియమం సరిచేయదు. సమూహ విధానం యొక్క విభజిత టన్నెల్ జాబితాను మీరు పరీక్షిస్తున్న గమ్యంతో పోల్చండి.

కాలు మిగిలిన భాగం సాధారణం: బయటి ఇంటర్ఫేస్ నుండి ఉపయోగించగల డిఫాల్ట్ లేదా నిర్దిష్ట మార్గం, ప్రవాహాన్ని అనుమతించే యాక్సెస్ విధానం, మరియు మీరు ఎంచుకున్న పరిష్కర్త విధానం ప్రకారం నిర్వహించబడే DNS. ఇక్కడ route-lookup క్రింద ఉన్న అదే కారణంతో జోడించండి, ఎందుకంటే ప్రవేశ మరియు నిష్క్రమణ ఇంటర్ఫేస్లు ఒకేలా ఉంటాయి.

కాలు B: క్లయింట్కు ప్రైవేట్ సైట్ కావాలి

ఈ కాలు ఎక్కువ చోట్ల విఫలమవుతుంది, కాబట్టి దాన్ని క్రమంగా రాయండి. మొదట క్లయింట్ మార్గం: గమ్య ప్రిఫిక్స్ విభజిత టన్నెల్ జాబితాలో ఉండాలి, లేకుంటే క్లయింట్ దాన్ని టన్నెల్లో పెట్టదు. రెండవది టన్నెల్ ఎంపికదారు: సైట్-టు-సైట్ గుప్తీకరణ ACL పూల్ చిరునామా నుండి దూర ప్రిఫిక్స్ వరకు కవర్ చేయాలి, స్థానిక LAN నుండి దూర ప్రిఫిక్స్ వరకు మాత్రమే కాదు. మూడవది గుర్తింపు, పూల్ చిరునామా దారిలో ఇంటర్నెట్ PATగా అనువదించబడకుండా.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

దూర వైపు ప్రజలు పరీక్షించడం మరచిపోయే భాగం. భాగస్వామికి పూల్కు తిరిగి వెళ్లే మార్గం మరియు దాన్ని కలిగి ఉన్న ఎంపికదారు అవసరం, మరియు దాని సొంత విధానం అది చూడబోయే మూల చిరునామాలను అనుమతించాలి. సైట్ దానికి బదులుగా అనువదించిన దృశ్యం ద్వారా ఉపయోగించబడితే, అది చెల్లుబాటు అయ్యే రూపకల్పన, కానీ అప్పుడు రెండు భాగస్వాములు, రెండు ఎంపికదారులు మరియు రెండు మార్గ పట్టికలు అనువదించిన చిరునామాలపై అంగీకరించాలి.

నియమాల క్రమాన్ని కూడా తనిఖీ చేయండి. గుర్తింపు నియమం పైన ఉన్న విస్తృత PAT నియమం గుర్తింపు నియమం మూల్యాంకనం కాకముందే ప్రైవేట్ మార్పిడిని అనువదిస్తుంది, మరియు లక్షణం NAT లోపం కాదు, సరిపోయే SA లేని సైట్ టన్నెల్.

మీరు ఏ కాలు నిర్మించారో చెప్పే పరీక్ష

కాన్ఫిగరేషన్ చదివి ఆశించే బదులు ASA సొంత మార్గ మూల్యాంకనాన్ని ఉపయోగించండి. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed ఒక ప్రవాహానికి NAT నిర్ణయం, మార్గం మరియు ACL ఫలితాన్ని చూపుతుంది; ప్రైవేట్ గమ్యంతో పునరావృతం చేయండి. NAT దశ ప్రైవేట్-నుండి-ప్రైవేట్ ప్రవాహాన్ని తిరిగి రాస్తే, కాలు B అవసరమైన ప్యాకెట్కు మీరు కాలు A నిర్మించారు.

మరో రెండు ఆదేశాలు ఖాళీని మూసివేస్తాయి. show nat detail packet-tracer అనుసరించిన నియమ క్రమాన్ని ముద్రిస్తుంది, మరియు show crypto ipsec sa మీరు ఆశించే జతకు ఎంపికదారు ఉందో లేదో చూపుతుంది. లేని SA అనేది ఎంపికదారు లేదా భాగస్వామి కాన్ఫిగరేషన్ విషయం, NAT నియమం సరిచేయగల విషయం కాదు.

ప్రతి కాలును అది సేవించే ట్రాఫిక్తో ధృవీకరించండి

కాలు Aను క్లయింట్ యొక్క సాధారణ పబ్లిక్ అభ్యర్థనతో అంగీకరించండి, కాలు Bను నిజంగా ఉన్న ప్రైవేట్ వనరుకు అభ్యర్థనతో అంగీకరించండి. తర్వాత ప్రతి ఒక్కటి తిరస్కరించబడిన వనరుతో పునరావృతం చేయండి, ఎందుకంటే “అనుమతించబడింది” మరియు “యాక్సెస్ విధానం ఆమోదించింది” ఒకే సాక్ష్యం కాదు, మరియు కేంద్రం నుండి పుట్టే ping క్లయింట్ మార్గాలలో ఏదీనూ సాధన చేయదు.

టికెట్లో రెండు పరీక్ష రికార్డులను విడివిడిగా ఉంచండి: మూల చిరునామా, గమ్యం, సరిపోయిన NAT నియమం మరియు ఫలితం. తదుపరి నివేదిక “VPN విరిగింది” అని చెప్పినప్పుడు, ఆ జత ఒక నిమిషంలో ఏ కాలు వెనక్కి తగ్గిందో చెబుతుంది, మరియు సమాధానం సాధారణంగా మార్గం లేదా ఎంపికదారు, అందరూ మొదట అనుమానించే అదే-ఇంటర్ఫేస్ లైన్ కాదు.