ASA hairpin: internet çıkışı mı, siteler arası VPN bacağı mı?

İstemci havuzu internete ya da bir site VPN’ine çıkabilir. NAT yazmadan önce hangi bacağa ihtiyacınız olduğuna karar verin, sonra rotayı, seçiciyi ve dönüş yolunu kontrol edin.

Aynı ASA’nın arkasındaki iki uzaktan erişim kullanıcısı aynı dış arabirimden trafik gönderip tamamen farklı muamele görebilir. Biri genel bir web sitesine gidiyor, bu yüzden paketin kaynak çevirisine ve internet rotasına ihtiyacı var. Diğeri aynı arabirimde sonlanan siteler arası tünelin arkasındaki bir sunucuya gidiyor, bu yüzden paketin kimliğe, eşleşen bir tünel seçicisine ve istemci havuzuna dönüş yoluna ihtiyacı var. Aynı arabirim izni ikisi için de ön koşuldur ve hiçbiri için çözüm değildir.

İki bacak, bir arabirim

NAT kuralı yazmadan önce hangi bacağı kurduğunuza karar verin, çünkü kurallar birbirinin yerine geçmez. A bacağı istemciden internete: havuz adresi içeri, çevrilmiş genel adres dışarı, aynı arabirimden geri. B bacağı istemciden başka bir IPsec eşinin karşı tarafındaki özel ön eke: havuz adresi korunur, yeniden şifrelenir ve havuzu nasıl yanıtlayacağını bilmesi gereken bir eşe teslim edilir.

İkisinin de önce ihtiyaç duyduğu şey aynı arabirim iznidir. O olmadan ASA, paketi geldiği arabirimden iletmeyi reddeder ve hata politika sorunu değil yönlendirme sorunu gibi görünür:

same-security-traffic permit intra-interface

O tek satır bir iletim düzenine izin verir, bunu ASA NAT başvurusu aynı arabirim yolları için açıklar. İstemci rotası eklemez, bir kaynağı yetkilendirmez, adres çevirmez ve IPsec seçicisi üzerinde anlaşmaz, bu yüzden ondan sonra üç ya da dört şey daha eklemeyi bekleyin ve kabulünü ilerleme olarak okumayın.

A bacağı: istemci interneti istiyor

İnternet çıkışı için havuz adresi paket cihazdan çıkmadan önce özel olmayı bırakmalıdır. Olağan bir PAT tasarımında kural havuzu dış arabirimin adresine çevirir ve dönüş durumu istemciye doğru akışı geri getirir:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Sonra istemcinin gerçekten bu trafiği taşımasını ASA’dan istediğini doğrulayın. Bölünmüş tünel istisnası genel hedefi telefonun kendi bağlantısı üzerinden gönderir, bu ASA’ya hiç ulaşmaz ve hiç gönderilmemiş bir paketi hiçbir NAT kuralı düzeltmez. Grup ilkesinin bölünmüş tünel listesini test ettiğiniz hedefle karşılaştırın.

Bacağın geri kalanı olağandır: dış arabirimden kullanılabilir varsayılan veya belirli bir rota, akışa izin veren bir erişim ilkesi ve seçtiğiniz çözümleyici ilkesine göre işlenen DNS. Buraya route-lookup aşağıdakiyle aynı nedenle ekleyin, çünkü giriş ve çıkış arabirimleri aynıdır.

B bacağı: istemci özel bir site istiyor

Bu bacak daha çok yerde başarısız olur, bu yüzden sırayla yazın. Önce istemci rotası: hedef ön ek bölünmüş tünel listesinde olmalı, yoksa istemci onu tünele koymaz. İkincisi tünel seçicisi: siteler arası kripto ACL havuz adresinden uzak ön eke kadar kapsamalı, yalnızca yerel LAN’dan uzak ön eke kadar değil. Üçüncüsü kimlik, havuz adresi yolda internet PAT’ine çevrilmesin diye.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Uzak taraf insanların test etmeyi unuttuğu kısımdır. Eşin havuza dönüş rotasına ve onu içeren bir seçiciye ihtiyacı vardır, ve kendi ilkesi göreceği kaynak adreslerine izin vermelidir. Site bunun yerine çevrilmiş bir görünüm üzerinden kullanılıyorsa bu geçerli bir tasarımdır, ama o zaman iki eş, iki seçici ve iki yönlendirme tablosu çevrilmiş adresler üzerinde anlaşmalıdır.

Kural sırasını da kontrol edin. Kimlik kuralının üstündeki geniş bir PAT kuralı, kimlik kuralı değerlendirilmeden önce özel alışverişi çevirir ve belirti NAT hatası değil, eşleşen SA’sı olmayan bir site tünelidir.

Hangi bacağı kurduğunuzu söyleyen test

Yapılandırmayı okuyup ummak yerine ASA’nın kendi yol değerlendirmesini kullanın. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed bir akış için NAT kararını, rotayı ve ACL sonucunu gösterir; özel bir hedefle yineleyin. NAT aşaması özelden özele bir akışı yeniden yazıyorsa, B bacağı gereken bir paket için A bacağını kurdunuz.

İki komut daha boşluğu kapatır. show nat detail packet-tracer’ın izlediği kural sırasını yazdırır, ve show crypto ipsec sa beklediğiniz çift için seçici olup olmadığını gösterir. Eksik SA, seçici veya eş yapılandırması sorunudur, NAT kuralının düzeltebileceği bir şey değildir.

Her bacağı hizmet ettiği trafikle doğrulayın

A bacağını istemciden gelen olağan bir genel istekle, B bacağını gerçekten var olan özel bir kaynağa yapılan istekle kabul edin. Sonra her birini reddedilen bir kaynakla yineleyin, çünkü “izin verildi” ile “erişim ilkesi tarafından onaylandı” aynı kanıt değildir ve merkezden çıkan bir ping istemci yollarının hiçbirini çalıştırmaz.

İki test kaydını bilette ayrı tutun: kaynak adres, hedef, eşleşen NAT kuralı ve sonuç. Bir sonraki rapor “VPN bozuk” dediğinde, o çift size bir dakika içinde hangi bacağın gerilediğini söyler ve yanıt genellikle bir rota veya seçicidir, herkesin ilk şüphelendiği aynı arabirim satırı değil.

İlgili makaleler