ASA hairpin: labasan sa internet o binti ng site-to-site VPN?

Dalawang remote-access user sa likod ng parehong ASA ay maaaring magpadala ng trapiko sa parehong panlabas na interface at makatanggap ng lubos na magkaibang pagtrato. Ang isa ay pupunta sa isang pampublikong website, kaya kailangan ng packet ng source translation at ruta ng internet. Ang isa ay pupunta sa server sa likod ng site-to-site tunnel na nagtatapos din sa interface na iyon, kaya kailangan ng packet ng pagkakakilanlan, tugmang tunnel selector at daan pabalik sa pool ng kliyente. Ang pahintulot para sa parehong interface ay paunang kundisyon para sa dalawa at solusyon para sa wala.

Dalawang binti, isang interface

Magpasya kung aling binti ang itinatayo mo bago mag-type ng NAT rule, dahil ang mga rule ay hindi mapagpapalit. Ang binti A ay kliyente patungong internet: pumasok ang address ng pool, lumabas ang isinaling pampublikong address, bumalik sa parehong interface. Ang binti B ay kliyente patungong pribadong prefix sa kabilang panig ng isa pang IPsec peer: pinapanatili ang address ng pool, muling ini-encrypt at inihahatid sa peer na dapat malaman kung paano sasagutin ang pool.

Ang kailangan muna ng dalawa ay ang pahintulot para sa parehong interface. Kung wala ito, tumatanggi ang ASA na ipasa ang packet palabas ng interface kung saan ito dumating, at ang pagkabigo ay mukhang problema sa routing kaysa problema sa patakaran:

same-security-traffic permit intra-interface

Ang nag-iisang linyang iyon ay nagpapahintulot ng kaayusan ng pagpasa, gaya ng inilalarawan ng Sanggunian sa NAT ng ASA para sa mga daan sa parehong interface. Hindi ito nagdadagdag ng ruta ng kliyente, hindi nagbibigay ng pahintulot sa resource, hindi nagsasalin ng address at hindi nakikipag-usap sa IPsec selector, kaya asahan na magdadagdag ka pa ng tatlo o apat na bagay pagkatapos nito at huwag basahin ang pagtanggap nito bilang progreso.

Binti A: gusto ng kliyente ang internet

Para sa labasan sa internet, ang address ng pool ay dapat tumigil sa pagiging pribado bago umalis ang packet sa device. Sa ordinaryong disenyo ng PAT, isinasalin ng rule ang pool sa address ng panlabas na interface, at ibinabalik ng return state ang daloy patungo sa kliyente:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Pagkatapos, tiyakin na talagang hiniling ng kliyente sa ASA na dalhin ang trapikong iyon. Ang pagbubukod sa split tunnel ay nagpapadala ng pampublikong destinasyon sa sariling koneksyon ng telepono, na hindi umaabot sa ASA, at walang NAT rule ang makakapag-ayos ng packet na hindi kailanman ipinadala. Ihambing ang listahan ng split tunnel ng patakaran ng grupo sa destinasyong sinusubukan mo.

Ang natitirang bahagi ng binti ay ordinaryo: magagamit na default o partikular na ruta palabas ng panlabas na interface, patakaran sa pag-access na nagpapahintulot sa daloy, at DNS na hinahawakan ayon sa patakaran ng resolver na pinili mo. Magdagdag ng route-lookup dito para sa parehong dahilan sa ibaba, dahil magkapareho ang papasok at palabas na interface.

Binti B: gusto ng kliyente ang pribadong site

Nabibigo ang binting ito sa mas maraming lugar, kaya isulat ito nang sunud-sunod. Una ang ruta ng kliyente: dapat nasa listahan ng split tunnel ang destination prefix, kung hindi ay hindi ito ilalagay ng kliyente sa tunnel. Ikalawa ang tunnel selector: dapat saklawin ng site-to-site crypto ACL ang address ng pool hanggang remote prefix, hindi lamang ang lokal na LAN hanggang remote prefix. Ikatlo ang pagkakakilanlan, upang ang address ng pool ay hindi maisalin sa internet PAT sa daan.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Ang malayong panig ang bahaging nakakalimutang subukan ng mga tao. Kailangan ng peer ang rutang pabalik sa pool at selector na kasama ito, at dapat pahintulutan ng sarili nitong patakaran ang mga source address na makikita nito. Kung ang site ay ginagamit sa pamamagitan ng isinaling view sa halip, iyon ay wastong disenyo, ngunit kailangan ng dalawang peer, dalawang selector at dalawang routing table na magkasundo sa mga isinaling address.

Tingnan din ang pagkakasunod-sunod ng mga rule. Ang malawak na PAT rule sa itaas ng rule ng pagkakakilanlan ay isasalin ang pribadong palitan bago pa man suriin ang rule ng pagkakakilanlan, at ang sintomas ay tunnel ng site na walang tugmang SA kaysa error sa NAT.

Ang pagsubok na nagsasabi kung aling binti ang itinayo mo

Gamitin ang sariling pagsusuri ng daan ng ASA sa halip na basahin ang configuration at umasa. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed ipinapakita ang desisyon sa NAT, ang ruta at resulta ng ACL para sa isang daloy; ulitin ito sa pribadong destinasyon. Kung muling isinusulat ng NAT phase ang daloy mula pribado hanggang pribado, itinayo mo ang binti A para sa packet na kailangan ang binti B.

Dalawang command pa ang nagsasara ng agwat. show nat detail ipinapasa ang pagkakasunod-sunod ng rule na sinundan ng packet-tracer, at show crypto ipsec sa ipinapakita kung may selector para sa pares na inaasahan mo. Ang kulang na SA ay usapin ng configuration ng selector o peer, hindi isang bagay na maaayos ng NAT rule.

Tiyakin ang bawat binti sa trapikong pinaglilingkuran nito

Tanggapin ang binti A sa ordinaryong pampublikong kahilingan mula sa kliyente, at ang binti B sa kahilingan sa pribadong resource na talagang umiiral. Pagkatapos, ulitin ang bawat isa sa tinanggihang resource, dahil ang “pinapayagan” at “inaprubahan ng patakaran sa pag-access” ay hindi magkatulad na ebidensya, at ang ping na nagmumula sa hub ay hindi nagsasanay sa alinman sa mga daan ng kliyente.

Panatilihing magkahiwalay ang dalawang talaan ng pagsubok sa ticket: source address, destinasyon, NAT rule na tumugma at resulta. Kapag sinabi ng susunod na ulat na “sira ang VPN”, sasabihin sa iyo ng pares na iyon sa loob ng isang minuto kung aling binti ang bumagsak, at ang sagot ay karaniwang ruta o selector, hindi ang linyang may parehong interface na unang pinaghihinalaan ng lahat.