స్ప్లిట్ టన్నెల్ పబ్లిక్ హోస్ట్ను ASA యొక్క NAT నియమాల నుండి మినహాయించదు

split-include మార్గం పబ్లిక్ హోస్ట్ను టన్నెల్లోకి లాగుతుంది, అక్కడ ASA హెయిర్పిన్ చేసి మూలాన్ని అనువదించాలి. రెండింటిలో ఏదైనా ఒక అడుగు దాటినా ప్రవాహం పడిపోతుంది.

స్ప్లిట్ టన్నెలింగ్ను సాధారణంగా కార్పొరేట్ ట్రాఫిక్ను టన్నెల్ లోపల, మిగిలిన ఇంటర్నెట్ను ఫైర్వాల్ వెలుపల ఉంచే పద్ధతిగా వివరిస్తారు. ఆ వివరణలోని రెండు భాగాలు ఒకే విధంగా తప్పు. స్ప్లిట్ టన్నెలింగ్ అనేది క్లయింట్ తీసుకునే మార్గ నిర్ణయం, మరియు మార్గ నిర్ణయం ప్యాకెట్ headend చేరుకున్న తర్వాత ఏమి జరుగుతుందనే దాని గురించి ఏమీ చెప్పదు.

మీ ప్రధాన కార్యాలయ చిరునామాను చూడాలని పట్టుబట్టే పబ్లిక్ చిరునామాలోని ఒకే భాగస్వామి సేవ ఈ కథను బద్దలు కొట్టడానికి సరిపోతుంది.

అపోహ: స్ప్లిట్ టన్నెల్ ఫైర్వాల్ను మార్గం నుండి తీసివేస్తుంది

ప్రైవేట్ పరిధుల వెలుపల ఏ గమ్యమైనా స్థానిక ఇంటర్నెట్ కనెక్షన్పైనే ఉంటుంది, కాబట్టి ఫైర్వాల్ దానిని ఎప్పుడూ చూడదు మరియు దాని కోసం ఎప్పుడూ నియమం అవసరం లేదనేది నమ్మకం. గమ్యం టన్నెల్ జాబితాలో లేని వరకే ఇది నిజం. ఒక ఆపరేటర్ పబ్లిక్ హోస్ట్ను split-include ACLలో చేర్చిన క్షణంలో, క్లయింట్ ఆ ట్రాఫిక్ను టన్నెల్లోకి పంపుతుంది, ASA దానిని ఇతర డీక్రిప్ట్ చేసిన ప్రవాహం లాగానే రూట్ చేయాలి, ఫిల్టర్ చేయాలి మరియు అనువదించాలి. క్లయింట్లో గమ్య జాబితా తప్ప ఏదీ మారలేదు.

క్లయింట్ రౌటర్ కాలేదు. మీరు ఇచ్చిన విధానాన్నే అనుసరించింది.

split-include మార్గం నిజంగా ఏమి చేస్తుంది

Cisco ASA రిమోట్ యాక్సెస్ సెటప్లో గ్రూప్ పాలసీ split-tunnel-policy tunnelspecified మరియు ప్రామాణిక ACLను పేర్కొనే split-tunnel-network-list కలిగి ఉంటుంది. ఆ ACLలోని ప్రతి permit పంక్తి క్లయింట్ టన్నెల్లోకి పంపాల్సిన గమ్యం, మిగిలినవన్నీ స్థానిక డిఫాల్ట్ మార్గాన్ని ఉపయోగిస్తూనే ఉంటాయి.

ఒక హోస్ట్ను జోడించడం ఒకే పంక్తి, మరియు క్లయింట్ చూడగల మార్పులో అదే ఏకైక భాగం: access-list RA-SPLIT standard permit host 203.0.113.20.

తర్వాత క్లయింట్ను మళ్లీ కనెక్ట్ చేయండి. పాలసీ కనెక్ట్ సమయంలో మార్పిడి అవుతుంది, కాబట్టి ఏర్పాటైన సెషన్ పాత జాబితాను ఉంచుకుని మార్పు ఏమీ చేయనట్టు కనిపిస్తుంది.

ప్యాకెట్ అదే ఇంటర్ఫేస్లో వస్తుంది మరియు వెళ్తుంది

ఇప్పుడు డీక్రిప్షన్ తర్వాత ప్రవాహాన్ని ట్రేస్ చేయండి. ప్యాకెట్ VPN టన్నెల్ ద్వారా బయటి ఇంటర్ఫేస్కు వచ్చింది, దాని గమ్యం పబ్లిక్ చిరునామా, రూటింగ్ పట్టిక దానిని అదే బయటి ఇంటర్ఫేస్ ద్వారా మళ్లీ ఇంటర్నెట్ వైపు పంపుతుంది. ఒక ఇంటర్ఫేస్లో వచ్చి వెళ్లే ట్రాఫిక్ ASA అనుమతించకపోతే పడవేయబడుతుంది, same-security-traffic permit intra-interface అదే చేస్తుంది. అది లేకుండా కనెక్షన్ రూటింగ్ సమస్యలా కనిపించే విధంగా విఫలమవుతుంది, కానీ అది కాదు.

ఆ సెట్టింగ్ ప్రపంచవ్యాప్తం. అవసరమైన ప్రతి ప్రవాహానికి హెయిర్పిన్నింగ్ను అనుమతిస్తుంది, ఈ భాగస్వామి హోస్ట్కు మాత్రమే కాదు, కాబట్టి ఇది త్వరిత పరీక్షకు కాదు, సమీక్షించిన మార్పుకు చెందుతుంది.

గమ్యం-పరిమిత PAT ఎందుకు ఐచ్ఛికం కాదు

డీక్రిప్ట్ చేసిన ప్యాకెట్ మూల చిరునామా ఇంకా క్లయింట్ VPN చిరునామాయే, సాధారణంగా 10.77.0.0/24 వంటి పూల్ నుండి. ఆ చిరునామాకు పబ్లిక్ ఇంటర్నెట్లో మార్గం లేదు, కాబట్టి భాగస్వామి ఎప్పుడూ సమాధానం ఇవ్వదు లేదా ఎక్కడికీ సమాధానం ఇవ్వదు.

అనువాదం మూలాన్ని సరిచేసి గమ్యాన్ని తాకకుండా వదిలివేస్తుంది. వస్తువులు ఇప్పటికే మరెక్కడో నిర్వచించబడినందున, ఈ గమ్యానికి పరిమితమైన మాన్యువల్ నియమం ఈ రూపాన్ని కలిగి ఉంటుంది:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

destination static భాగం ముఖ్యం. దాన్ని వదిలేస్తే నియమం ఉద్దేశించిన దానికంటే చాలా ఎక్కువ ట్రాఫిక్తో సరిపోలగల విస్తృత అనువాదం అవుతుంది, మరియు క్రమంలో ముందున్న విస్తృత identity నియమం దీన్ని పూర్తిగా ఓడించగలదు. మీ నియమమే సరిపోలుతుందని భావించే ముందు show nat detail మరియు విభాగాల క్రమాన్ని తనిఖీ చేయండి.

ఇంటర్ఫేస్ PAT అంటే భాగస్వామి ASA ఇంటర్ఫేస్ చిరునామాను చూస్తాడని కూడా, అది పైకి మళ్లీ అనువదించబడవచ్చు. ఒప్పందం చిరునామాను పేర్కొంటే, ఒక హాప్లో కాదు, మొదటి నుండి చివరి వరకు నిర్ధారించండి.

సరైన పరీక్షా గమ్యంతో నిరూపించండి

సాధారణ what-is-my-ip పేజీ కాదు, భాగస్వామి హోస్ట్నే ఉపయోగించండి. ఆ పేజీ దాదాపు ఖచ్చితంగా split జాబితా వెలుపల ఉంటుంది, కాబట్టి మీ స్థానిక ఇంటర్నెట్ చిరునామాను నివేదిస్తుంది, ఈ మార్గం గురించి ఏమీ చెప్పదు. భాగస్వామి సేవకు కొత్త కనెక్షన్ తెరిచి వారు ఏ మూలాన్ని గమనించారో అడగండి, లేదా packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed ను అమలు చేసి NAT మరియు రూటింగ్ దశలను పంక్తి పంక్తిగా చదవండి. క్లయింట్ నుండి traceroute బలహీనమైన తనిఖీ, ఎందుకంటే ఇప్పటికే జరిగిన మార్గాన్ని చూపుతుంది, దాన్ని ఎంచుకున్న విధానాన్ని కాదు.

తర్వాత ఏమి మారకూడదో తనిఖీ చేయండి. సాధారణ వెబ్సైట్ ఇంకా స్థానిక కనెక్షన్ నుండి బయటకు వెళ్లాలి, టన్నెల్ జాబితాలోని ప్రైవేట్ వనరు ఇంకా చేరుకోగలిగి ఉండాలి. భాగస్వామిని బాగుచేసి వీటిలో ఒకటి పాడుచేసే మార్పు మరో బగ్.

ఈ డిజైన్ పనిచేసే వెర్షన్ చిన్నది: split ACLలో ఒక హోస్ట్, హెయిర్పిన్ అనుమతి, గమ్యం-పరిమిత ఒక PAT నియమం. కథలో మిగిలినదంతా అపోహ.

సంబంధిత వ్యాసాలు