ASA VPN hairpin: ఒకే ఇంటర్‌ఫేస్ ద్వారా రెండు టన్నెళ్ల రూటింగ్

ఒక రిమోట్ వినియోగదారు ASA కి కనెక్ట్ అవుతాడు, ఒక శాఖ వెనుక ఉన్న హోస్ట్‌ను అడుగుతాడు, మరియు ASA ఆ అభ్యర్థనను వినియోగదారు వచ్చిన అదే ఇంటర్‌ఫేస్ ద్వారా బయటకు పంపుతుంది. దానిలో ఏదీ రెండవ భౌతిక పోర్టును అవసరం చేయదు. అవసరమైనది నాలుగు స్వతంత్ర నిర్ణయాలు, వాటిని ప్రజలు సాధారణంగా ఒకటిగా కలిపేస్తారు: hairpin చేయడానికి అనుమతి, సరైన చిరునామాలను రక్షించే టన్నెల్, మీరు వాగ్దానం చేసిన మూలాన్ని కాపాడే NAT విధానం, మరియు సేవను అధికారం ఇచ్చే యాక్సెస్ విధానం.

ఒక ప్యాకెట్, రెండు టన్నెళ్లు

ప్రవాహాన్ని అనుసరించండి, కార్యకలాపాల క్రమం రహస్యంగా ఉండటం ఆగిపోతుంది. ప్యాకెట్ రిమోట్ యాక్సెస్ టన్నెల్ లోపలికి వస్తుంది, డీక్రిప్ట్ అవుతుంది మరియు క్లయింట్ పూల్ నుండి మూలం కలిగిన సాధారణ IP ప్యాకెట్ అవుతుంది. తర్వాత ASA దానిని రూట్ చేస్తుంది, సైట్-టు-సైట్ crypto ACL తో సరిపోల్చుతుంది, మళ్లీ ఎన్‌క్రిప్ట్ చేసి బయటి ఇంటర్‌ఫేస్ నుండి శాఖ వైపు పంపుతుంది.

క్రింది చిరునామాలు ఉదాహరణలు, కానీ ఆకారం ముఖ్యం: మూలం పూల్, ASA యొక్క అంతర్గత LAN కాదు.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

దీని నుండి రెండు విషయాలు వస్తాయి. క్లయింట్ తన రిమోట్ యాక్సెస్ కనెక్షన్ ద్వారా శాఖ ప్రిఫిక్స్‌కు మార్గం కావాలి, అంటే split-tunnel లేదా పంపబడే మార్గాల జాబితాలో అది ఉండాలి. మరియు శాఖ ట్రాఫిక్‌ను 10.77.0.20 కి లేదా మీ NAT డిజైన్ భర్తీ చేసిన చిరునామాకు ఎలా తిరిగి పంపాలో తెలుసుకోవాలి.

hairpin అనుమతి ప్రపంచవ్యాప్తం

ప్రజలు ఆశ్రయించే ఆదేశం same-security-traffic permit intra-interface. ఇది ట్రాఫిక్‌ను ఒకే ఇంటర్‌ఫేస్ లోపలికి రావడానికి మరియు బయటకు వెళ్లడానికి అనుమతిస్తుంది, ఈ మార్గానికి సరిగ్గా అదే కావాలి. ఇది ప్రపంచవ్యాప్త సెట్టింగ్ కూడా: దీన్ని ప్రారంభించడం అదే ఇంటర్‌ఫేస్ గుండా రెండుసార్లు వెళ్లే ఇతర ప్రవాహాల ప్రవర్తనను మారుస్తుంది.

అందుకే ఇది డీబగ్గింగ్ సెషన్ కాకుండా మార్పు రికార్డులో ఉండాలి. పరికరంలో ఇంకా ఏమి ఇప్పుడు అదే ఇంటర్‌ఫేస్ మార్గాన్ని తీసుకోగలదు, వాటిలో ఏదైనా తీసుకోవాలా అని అడగండి. అతిథి నెట్‌వర్క్‌లు లేదా ఒకదానిపై ఒకటి పడే భాగస్వామ్య టన్నెళ్లు ఉన్న రద్దీ అంచున సమాధానం స్వయంచాలకంగా కాదు కాదు. కారణాన్ని సెట్టింగ్ పక్కన రాయండి, ఎందుకంటే తదుపరి ఇంజనీర్ ఆదేశాన్ని కనుగొంటారు, సంభాషణను కాదు.

రక్షణ పరిధి మరియు NAT వేర్వేరు

సైట్-టు-సైట్ టన్నెల్ తన crypto ACL ఎంచుకున్నదాన్ని రక్షిస్తుంది. ఆ ACL మూలంగా ASA యొక్క అంతర్గత సబ్‌నెట్‌ను పేర్కొంటే, రిమోట్ యాక్సెస్ పూల్ రక్షించబడదు మరియు సరిపోలని ట్రాఫిక్ పట్ల ప్లాట్‌ఫారమ్ ప్రవర్తనను బట్టి ప్యాకెట్ లేదా పడవేయబడుతుంది లేదా బహిరంగంగా పంపబడుతుంది. డిజైన్ పూల్ చిరునామాలను కాపాడినప్పుడు పూల్‌ను రక్షిత ప్రవాహంలో చేర్చండి.

తర్వాత NAT పూల్ చిరునామా నిలిచిపోతుందా అని నిర్ణయిస్తుంది. Identity NAT దాన్ని ఉంచుతుంది, శాఖ 10.77.0.20 ను మూలంగా చూస్తుంది. అనువాదం ఒప్పందాన్ని మారుస్తుంది: శాఖ ఇప్పుడు ట్రాఫిక్‌ను అనువదించిన చిరునామాకు తిరిగి పంపుతుంది, దాని స్వంత విధానం దాన్ని అంగీకరించాలి. నియమాల క్రమం crypto ACL అనువాదానికి ముందు లేదా తర్వాత సరిపోలుతుందా అని నిర్ణయిస్తుంది, కాబట్టి ఏది గెలుస్తుందో ఊహించకుండా వాస్తవ ప్రవాహాన్ని చదవండి.

ఒక ట్రాన్జిట్ కేసు పనిచేయడానికి సాధారణ ఇంటర్నెట్ PAT నియమాలను తొలగించవద్దు. లక్ష్యంగా చేసిన మినహాయింపు లేదా ఉద్దేశపూర్వక identity నియమం బయటకు వెళ్లే విధానంలో రంధ్రం చేయడం కంటే వివరించడానికి మరియు తిరిగి తీసుకోవడానికి సులభం.

ఎన్‌క్రిప్షన్ అధికారం కాదు

పనిచేసే టన్నెల్ రెండు వైపులా కీలు మరియు ఎంపికదారులపై అంగీకరిస్తున్నాయని మాత్రమే రుజువు చేస్తుంది. ఈ వినియోగదారు ఆ సేవను చేరుకోగలరా అనే దాని గురించి ఏమీ చెప్పదు. రిమోట్ యాక్సెస్ కనెక్షన్‌కు జోడించిన VPN ఫిల్టర్ లేదా గ్రూప్ విధానం ఇప్పటికీ శాఖ గమ్యాన్ని మరియు పోర్టును అనుమతించాలి, బయటి మార్గంలోని ఇంటర్‌ఫేస్ ACL ఇప్పటికీ వర్తిస్తుంది.

సమాధానాన్ని రెండు దిశల్లో పరీక్షించండి. పొరుగు సేవ విఫలం కావాల్సి ఉన్నప్పుడు విజయవంతమయ్యే కనెక్షన్ ఒక విజయవంతమైన ping కంటే ఎక్కువ సమాచారం ఇస్తుంది, ఎందుకంటే విధానం పూర్తిగా తెరిచి ఉండకుండా ఎంపిక చేసుకున్నదని చూపిస్తుంది. నిరాకరించాల్సిన పరీక్ష విజయవంతమైతే, తప్పు టన్నెల్‌ది కాదు; విధానం‌ది. రెండు ఫలితాలను మార్పు రికార్డులో ఉంచండి, తదుపరి వ్యక్తికి ఏ ప్రవర్తన ఉద్దేశించబడిందో తెలుస్తుంది.

hairpin లేదా రెండవ ఇంటర్‌ఫేస్

hairpin ట్రాన్జిట్ డిజైన్‌ను చిన్నదిగా ఉంచుతుంది మరియు ఒక ప్రపంచవ్యాప్త సెట్టింగ్ ఖర్చు మాత్రమే. వేరు ఇంటర్‌ఫేస్, లేదా తన స్వంత వర్చువల్ ఇంటర్‌ఫేస్‌తో కూడిన మార్గ ఆధారిత టన్నెల్, ట్రాన్జిట్ మార్గాన్ని వేరుచేసి ఇంటర్‌ఫేస్‌కు ఒక విధానాన్ని ఇస్తుంది, బదులుగా చిరునామా మరియు మరో crypto map లేదా ప్రొఫైల్ ఖర్చుతో. ఏదీ ఎక్కువ సరైనది కాదు; అవి వేర్వేరుగా విఫలమవుతాయి.

మార్గ ఆధారిత డిజైన్లు వేరు ఏర్పాటు, అదే కాన్ఫిగరేషన్‌పై ఒక చెక్‌బాక్స్ కాదు. మీరు అలాంటి దానికి మారితే, పైన చెప్పిన విధాన ఆధారిత crypto ACL చర్చ వర్తించడం ఆగిపోతుంది మరియు రూటింగ్ పట్టిక ఎంపిక పని చేయడం ప్రారంభిస్తుంది.

నిజమైన క్లయింట్ నుండి ధృవీకరించండి

ASA నుండి ప్రారంభించిన పరిశీలనకు వేరు మూల చిరునామా ఉంటుంది మరియు అది పూల్-నుండి-శాఖ మార్గాన్ని ప్రయోగించదు. ఐదు-భాగాలను తనిఖీ చేయడానికి packet-tracer ఉపయోగించండి, తర్వాత నిజమైన రిమోట్ క్లయింట్ నుండి నిజమైన కనెక్షన్ తెరవండి, ఎందుకంటే ట్రేసర్ అనుకరిస్తుంది మరియు క్లయింట్ యొక్క స్వంత రూటింగ్ మరియు విధానాన్ని భర్తీ చేయదు.

ప్రణాళికాబద్ధ మార్పు తర్వాత పనిచేయాల్సిన సేవకు కనెక్ట్ అవ్వండి, తర్వాత తిరస్కరించాల్సిన సేవకు, ఆపై శాఖ యొక్క తిరిగి వచ్చే మార్గాన్ని నిర్ధారించండి. Cisco యొక్క VPN hairpin NAT ఉదాహరణలు intra-interface అనుమతి, NAT మరియు ACL లను కనిపించే విధంగా వేరుగా ఉంచుతాయి, మరియు అదే కాపీ చేయదగిన మానసిక నమూనా.