VPN ట్రాఫిక్ కోసం ASA identity NAT మరియు IOS NAT మినహాయింపు

ఒక శాఖ ఒకే Cisco గేట్‌వేపై ఇంటర్నెట్ PAT మరియు సైట్-టు-సైట్ VPN నడుపుతుంది, NAT చేర్చిన క్షణంలోనే VPN పనిచేయడం ఆపేస్తుంది. సొరంగం లోపలి చిరునామాలు crypto ACL రక్షించే దానితో ఇక మేల్కొనవు, లేదా ఎదుటి వైపు మార్గం లేని అనువదించిన చిరునామాలను చూస్తుంది. Cisco దీన్ని రెండు చోట్ల పరిష్కరిస్తుంది: ASA చిరునామాను దానికే మ్యాప్ చేసే NAT నియమాన్ని ఎంచుకుంటుంది, IOS మాత్రం ACL లోని deny ద్వారా ప్రవాహాన్ని అనువాద నియమం వెలుపల ఉంచుతుంది. రెండూ అసలు చిరునామాలను నిలుపుతాయి, ఏదీ NAT ప్రాసెసింగ్‌ను బైపాస్ చేయదు.

నియమం ఎంచుకునే ముందు ప్రవాహాన్ని నమోదు చేయండి

మీరు రక్షించాలనుకునే ప్రవాహాన్ని రాయడంతో ప్రారంభించండి: స్థానిక LAN మూలం, దూర లక్ష్యం మరియు IPsec విధానం రక్షించే ఖచ్చితమైన చిరునామా జోడి. నియమాన్ని సవరించే ముందు ఇది చేయండి, ఎందుకంటే ఈ సమూహం ఏ వర్గీకరణ లేదా NAT నియమం సరిపోలాల్సింది అని చూపుతుంది.

తర్వాత మీరు ఉద్దేశించిన నియమం కాదు, నిజంగా సరిపోలిన నియమాన్ని కనుగొనండి. రెండు ప్లాట్‌ఫారమ్‌లలో NAT ఒక క్రమంలో మూల్యాంకనం అవుతుంది, మీ మినహాయింపు పరిగణించబడక ముందే మునుపటి నియమం గెలవవచ్చు. సరిగ్గా కనిపించినా మరో నియమానికి ఓడిపోయే మినహాయింపు ఎప్పటికీ ఆశించిన ప్యాకెట్‌ను రక్షణ విధానానికి అప్పగించదు. లక్షణం మినహాయింపు లేనట్టే ఉంటుంది, కాబట్టి కాన్ఫిగరేషన్ మార్చే ముందు నియమాల క్రమాన్ని చదవాలి.

ASA identity NAT ఒక నియమం, బైపాస్ కాదు

ASA లో identity NAT అనేది అనువదించిన చిరునామా అసలు చిరునామాకు సమానంగా ఉండే NAT నియమం. ఇది మరే ఇతర నియమంలా ఎంచుకోబడుతుంది, ఇప్పటికీ అనువాద నమోదును ఏర్పాటు చేస్తుంది, కాబట్టి ప్యాకెట్ NAT ప్రాసెసింగ్‌ను దాటదు. మారేది ఏమిటంటే నెట్‌వర్క్‌లో చిరునామాలు అలాగే ఉంటాయి, IPsec విధానానికి అదే కావాలి.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

నియమం యొక్క ఇంటర్‌ఫేసులు మరియు దాని route-lookup సెట్టింగ్ ఫార్వార్డింగ్ డిజైన్‌తో సరిపోలాలి. చిరునామాను సరిగ్గా మ్యాప్ చేసినా తప్పు ఇంటర్‌ఫేస్ జోడిపై వర్తించే నియమం మీ ప్రవాహానికి ఎంచుకోబడదు. Route-lookup అనువదించిన ప్యాకెట్ రూట్ అవుతుందా లేదా అసలు లక్ష్యం ఉపయోగించబడుతుందా అని నిర్ణయిస్తుంది, తిరిగి వచ్చే ట్రాఫిక్ సొరంగం ద్వారా వస్తుందా అని కూడా అదే నిర్ణయిస్తుంది.

ASA కు నిర్వహణ ప్రవేశం వేరే సందర్భం. నిర్వహణ ట్రాఫిక్ కోసం identity NAT వాడితే, విడుదల-నిర్దిష్ట route-lookup షరతు వర్తిస్తుంది, VPN ఉదాహరణ నుండి కాపీ చేసిన విస్తృత మినహాయింపు SSH ను సరిచేయదు.

IOS NAT ACL లో deny అంటే ఇక్కడ ఎంచుకోబడలేదు

IOS లో ఇంటర్నెట్ NAT మూల జాబితాతో నడుస్తుంది, ఆ ACL వడపోత కాదు, వర్గీకరణ. Permit పంక్తి అనువాదానికి ట్రాఫిక్‌ను ఎంచుకుంటుంది; deny పంక్తి ప్యాకెట్ ఇక్కడ ఎంచుకోబడలేదు అని అర్థం. ఆ deny ఇంటర్‌ఫేస్ ACL లోని deny లాగా ప్యాకెట్‌ను పడవేయాలని ఆదేశం కాదు.

ఇక్కడ ఎంచుకోబడలేదు అనేది ఎక్కడా అనువదించబడలేదు కంటే ఇరుకైనది. మరో NAT నియమం, మరో ఇంటర్‌ఫేస్ లేదా route-map ఇప్పటికీ ప్రవాహాన్ని అనువదించగలవు, కాబట్టి పూర్తి NAT పట్టిక చదవాలి. ప్యాకెట్‌కు ఇప్పటికీ మార్గం, సరిపోలే crypto ACL మరియు నిజమైన యాక్సెస్-నియంత్రణ హద్దుల్లో అనుమతి కావాలి.

కనీస IOS ఏర్పాటు deny ను అదే జాబితాలో permit పైన ఉంచి overload నియమాన్ని ఆ జాబితా వైపు మళ్లిస్తుంది. అప్పుడు crypto ACL deny అనువాదం నుండి మినహాయించిన అదే జోడిని రక్షిస్తుంది.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

రెండు నమూనాలకు ఒక పరీక్షించదగిన ప్రశ్న

రెండు నమూనాలు ఒకే ప్రశ్నకు సమాధానం ఇస్తాయి: ఏ నియమం ఈ ప్రవాహంతో సరిపోలింది, ఏ చిరునామాలు ఇంటర్‌ఫేస్ వదిలాయి? బయటి ఇంటర్‌ఫేస్‌పై సంగ్రహించి గేట్‌వే ముందు మరియు తర్వాత మూల చిరునామాను పోల్చండి. తర్వాత సొరంగం గురించి ఎదుటి వైపు దృష్టిని తనిఖీ చేయండి, ఎందుకంటే SA పైకి ఉన్నప్పటికీ రక్షిత ప్రవాహం వేరే చోట అనువదించబడవచ్చు.

ASA లో nat detail మరియు అనువాద పట్టిక చూపండి; IOS లో ip nat translations మరియు సంబంధిత ACL కౌంటర్లు చూపండి. ఎప్పుడూ పెరగని నియమం ఎప్పుడూ ఎంచుకోబడలేదు, అది crypto కాన్ఫిగరేషన్ కాదు, క్రమం, ఇంటర్‌ఫేస్ లేదా దిశను సూచిస్తుంది.

కాన్ఫిగరేషన్ సాధారణంగా ఎక్కడ తప్పుతుంది

సాధారణ వైఫల్యాలు యాంత్రికం. deny permit కింద ఉంటుంది, ఎప్పుడూ సరిపోలదు. వర్గీకరణ తప్పు దిశలో వర్తిస్తుంది, కాబట్టి తిరిగి వచ్చే ప్రవాహం అనువదించబడుతుంది. Identity నియమం సరైన చిరునామాలను కానీ తప్పు ఇంటర్‌ఫేస్ జోడిని కవర్ చేస్తుంది. Crypto ACL ఇప్పుడు NAT నియమం అందించే దానితో సరిపోలని సబ్‌నెట్‌ను రక్షిస్తుంది.

అసలు మరియు అందించిన చిరునామా జోడిని నియమం యజమాని పక్కన నమోదు చేయండి, తదుపరి ఇంజనీర్ వర్గీకరణ ఎందుకు అనువాదాన్ని తిరస్కరిస్తుంది కానీ ఫైర్‌వాల్ అనువర్తనాన్ని అనుమతిస్తుంది అని చూడగలరు. దాన్ని వ్యక్తిగత గమనికలో కాదు, మార్పు టికెట్‌లో ఉంచండి. తర్వాత ఏ NAT మార్పు తర్వాతైనా ప్రవాహాన్ని మళ్లీ నడపండి, ఎందుకంటే నియమం పాఠ్యం మారకపోయినా నియమాల క్రమం కాన్ఫిగరేషన్‌లో భాగం. పైకి లేచే సొరంగం చిరునామాలు నిలిచాయని రుజువు కాదు; సంగ్రహించిన ప్యాకెట్ మరియు ఎదుటి వైపు డీక్యాప్సులేషన్ తర్వాత దృష్టి మాత్రమే రుజువు.