ASA VPN hairpin: pagruta ng dalawang tunnel sa isang interface

Ang isang malayong user ay kumokonekta sa ASA, humihingi ng host sa likod ng isang sangay, at ipinapadala ng ASA ang kahilingang iyon sa mismong interface na pinasukan ng user. Wala sa mga ito ang nangangailangan ng pangalawang pisikal na port. Ang kailangan ay apat na malayang desisyon na madalas pagsamahin ng mga tao sa isa: pahintulot na gumawa ng hairpin, tunnel na nagpoprotekta sa tamang mga address, patakaran ng NAT na nagpapanatili sa pinagmulang ipinangako mo, at patakaran sa pag-access na nagpapahintulot sa serbisyo.

Isang packet, dalawang tunnel

Sundan ang daloy at hindi na mahiwaga ang pagkakasunod-sunod ng mga operasyon. Dumarating ang packet sa loob ng tunnel ng malayong pag-access, dinidecrypt at nagiging ordinaryong packet ng IP na may pinagmulan mula sa pool ng kliyente. Pagkatapos ay iruruta ito ng ASA, itatapat sa crypto ACL na site-to-site, ieencrypt muli at ipapadala sa panlabas na interface patungo sa sangay.

Ang mga address sa ibaba ay halimbawa lamang, ngunit mahalaga ang hugis: ang pinagmulan ay ang pool, hindi ang panloob na LAN ng ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Dalawang bagay ang sumusunod. Kailangan ng kliyente ng ruta patungo sa prefix ng sangay sa pamamagitan ng koneksyon nito sa malayong pag-access, ibig sabihin, dapat isama ito ng split-tunnel o ang ipinadalang listahan ng ruta. At kailangang malaman ng sangay kung paano ibabalik ang trapiko sa 10.77.0.20 o sa address na pinalitan ng disenyo ng NAT mo.

Ang pahintulot sa hairpin ay pandaigdigan

Ang utos na inaabot ng mga tao ay same-security-traffic permit intra-interface. Pinapayagan nitong pumasok at lumabas ang trapiko sa parehong interface, na siyang eksaktong kailangan ng landas na ito. Isa rin itong pandaigdigang setting: kapag pinagana, nagbabago ang pag-uugali ng ibang daloy na nagkataong dumaraan sa parehong interface nang dalawang beses.

Kaya nararapat ito sa talaan ng pagbabago at hindi sa sesyon ng pag-debug. Itanong kung ano pa sa aparato ang maaaring tumahak ng landas sa parehong interface ngayon, at kung dapat bang gawin iyon ng alinman. Sa abalang gilid na may mga bisitang network o magkapatong na tunnel ng kasosyo, ang sagot ay hindi awtomatikong hindi. Isulat ang dahilan sa tabi ng setting, dahil ang susunod na inhinyero ay makikita ang utos at hindi ang usapan.

Hiwalay ang saklaw ng proteksyon at ang NAT

Pinoprotektahan ng tunnel na site-to-site ang anumang pipiliin ng crypto ACL nito. Kung pinapangalanan ng ACL na iyon ang panloob na subnet ng ASA bilang pinagmulan, hindi protektado ang pool ng malayong pag-access at ang packet ay itatapon o ipapadala nang hayagan, depende sa pag-uugali ng platform sa trapikong hindi tumutugma. Idagdag ang pool sa protektadong daloy kapag pinapanatili ng disenyo ang mga address ng pool.

Pagkatapos ay magpapasya ang NAT kung mananatili ang address ng pool. Pinapanatili ito ng Identity NAT, at nakikita ng sangay ang 10.77.0.20 bilang pinagmulan. Binabago ng pagsasalin ang kontrata: ibinabalik na ngayon ng sangay ang trapiko sa isinaling address, at dapat tanggapin iyon ng sarili nitong patakaran. Ang pagkakasunod-sunod ng mga patakaran ang magpapasya kung tumutugma ang crypto ACL bago o pagkatapos ng pagsasalin, kaya basahin ang aktwal na daloy sa halip na ipagpalagay kung alin ang mananaig.

Huwag burahin ang pangkalahatang mga patakaran ng PAT sa internet para gumana ang isang kaso ng transit. Ang naka-target na pagbubukod o sinadyang patakaran ng identity ay mas madaling ipaliwanag at ibalik kaysa sa isang butas sa patakaran ng papasok.

Ang encryption ay hindi pahintulot

Ang gumaganang tunnel ay nagpapatunay lamang na nagkasundo ang dalawang panig sa mga susi at tagapili. Wala itong sinasabi tungkol sa kung maaaring maabot ng user na ito ang serbisyong iyon. Kailangan pa ring payagan ng filter ng VPN o patakaran ng grupo na nakakabit sa koneksyon ng malayong pag-access ang destinasyon at port ng sangay, at nalalapat pa rin ang ACL ng interface sa panlabas na landas.

Subukan ang sagot sa dalawang direksyon. Ang koneksyong nagtagumpay habang ang katabing serbisyo ay dapat mabigo ay mas nagbibigay-kaalaman kaysa sa isang matagumpay na ping, dahil ipinapakita nitong pili ang patakaran at hindi bukas na bukas. Kung nagtagumpay ang pagsubok na dapat tanggihan, hindi ang tunnel ang may kasalanan; ang patakaran ang may kasalanan. Itago ang dalawang resulta sa talaan ng pagbabago upang malaman ng susunod na tao kung aling pag-uugali ang sinadya.

Hairpin o pangalawang interface

Ang hairpin transit ay nagpapanatili sa disenyo na maliit at nagkakahalaga ng isang pandaigdigang setting. Ang hiwalay na interface, o tunnel na nakabatay sa ruta na may sariling virtual na interface, ay naghihiwalay sa landas ng transit at nagbibigay sa iyo ng patakaran sa bawat interface, kapalit ng pag-address at isa pang crypto map o profile. Wala sa dalawa ang mas tama; magkaiba sila ng paraan ng pagpalya.

Ang mga disenyong nakabatay sa ruta ay ibang kaayusan, hindi isang checkbox sa parehong configuration. Kung lilipat ka sa isa, hindi na nalalapat ang talakayan sa itaas tungkol sa crypto ACL na nakabatay sa patakaran at magsisimula nang gawin ng talahanayan ng ruta ang gawain ng pagpili.

I-verify mula sa tunay na kliyente

Ang pagsusuring sinimulan mula sa ASA ay may ibang source address at hindi daraan sa landas mula pool patungo sa sangay. Gamitin ang packet-tracer upang suriin ang limang-tuple, pagkatapos ay magbukas ng tunay na koneksyon mula sa aktwal na malayong kliyente, dahil gumagaya lamang ang tracker at hindi pinapalitan ang sariling pagruta at patakaran ng kliyente.

Pagkatapos ng planadong pagbabago, kumonekta sa serbisyong dapat gumana, pagkatapos sa dapat tanggihan, at pagkatapos ay kumpirmahin ang rutang pabalik ng sangay. mga halimbawa ng NAT hairpin ng VPN mula sa Cisco pinapanatiling hiwalay nang nakikita ang pahintulot na intra-interface, NAT at mga ACL, at iyon ang modelong pangkaisipan na sulit kopyahin.