ASA VPN hairpin: ایک انٹرفیس سے دو ٹنلز کی روٹنگ

ایک ریموٹ صارف ASA سے جڑتا ہے، کسی برانچ کے پیچھے موجود ہوسٹ مانگتا ہے، اور ASA وہ درخواست اسی انٹرفیس سے باہر بھیجتا ہے جس سے صارف آیا تھا۔ اس میں سے کوئی چیز دوسرے طبعی پورٹ کی متقاضی نہیں۔ جو چاہیے وہ چار خودمختار فیصلے ہیں جنہیں لوگ عموماً ایک میں سمو دیتے ہیں: hairpin کرنے کی اجازت، درست پتوں کی حفاظت کرنے والی ٹنل، آپ کے وعدے کے مطابق ماخذ کو برقرار رکھنے والی NAT پالیسی، اور سروس کو مجاز کرنے والی رسائی پالیسی۔

ایک پیکٹ، دو ٹنلز

بہاؤ کی پیروی کریں تو کارروائیوں کی ترتیب پراسرار رہنا بند ہو جاتی ہے۔ پیکٹ ریموٹ رسائی ٹنل کے اندر آتا ہے، ڈکرپٹ ہوتا ہے اور کلائنٹ پول سے ماخذ رکھنے والا عام IP پیکٹ بن جاتا ہے۔ پھر ASA اسے روٹ کرتا ہے، سائٹ سے سائٹ crypto ACL سے ملاتا ہے، دوبارہ انکرپٹ کرتا ہے اور بیرونی انٹرفیس سے برانچ کی طرف بھیجتا ہے۔

نیچے دیے گئے پتے مثال کے طور پر ہیں، لیکن شکل اہم ہے: ماخذ پول ہے، ASA کا اندرونی LAN نہیں۔

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

اس سے دو باتیں نکلتی ہیں۔ کلائنٹ کو اپنے ریموٹ رسائی کنکشن کے ذریعے برانچ کے پریفکس کے لیے راستہ چاہیے، یعنی split-tunnel یا بھیجی گئی روٹ فہرست میں اسے شامل ہونا چاہیے۔ اور برانچ کو معلوم ہونا چاہیے کہ ٹریفک کو 10.77.0.20 پر یا اس پتے پر واپس کیسے بھیجنا ہے جو آپ کے NAT ڈیزائن نے بدلا ہے۔

hairpin اجازت عالمی ہے

لوگ جس کمانڈ کی طرف جاتے ہیں وہ ہے same-security-traffic permit intra-interface۔ یہ ٹریفک کو اسی انٹرفیس میں داخل اور باہر جانے دیتی ہے، جو اس راستے کو بالکل درکار ہے۔ یہ ایک عالمی سیٹنگ بھی ہے: اسے فعال کرنا دیگر بہاؤں کا رویہ بدل دیتا ہے جو اتفاقاً اسی انٹرفیس سے دو بار گزرتے ہیں۔

اس لیے یہ ڈیبگ سیشن کے بجائے تبدیلی کے ریکارڈ میں آتی ہے۔ پوچھیں کہ ڈیوائس پر اور کیا اب اسی انٹرفیس کا راستہ لے سکتا ہے، اور کیا ان میں سے کسی کو لینا چاہیے۔ مہمان نیٹ ورک یا ایک دوسرے پر چڑھی پارٹنر ٹنلز والے مصروف کنارے پر جواب خودبخود نہیں نہیں ہوتا۔ سیٹنگ کے پہلو میں وجہ لکھیں، کیونکہ اگلا انجینئر کمانڈ پائے گا، گفتگو نہیں۔

حفاظت کا دائرہ اور NAT الگ ہیں

سائٹ سے سائٹ ٹنل اسی چیز کی حفاظت کرتی ہے جسے اس کا crypto ACL چنتا ہے۔ اگر وہ ACL ماخذ کے طور پر ASA کے اندرونی سب نیٹ کا نام لے، تو ریموٹ رسائی پول محفوظ نہیں اور پیکٹ یا تو گرا دیا جائے گا یا نہ ملنے والے ٹریفک کے بارے میں پلیٹ فارم کے رویے کے مطابق کھلا بھیجا جائے گا۔ جب ڈیزائن پول کے پتے برقرار رکھے تو پول کو محفوظ بہاؤ میں شامل کریں۔

پھر NAT فیصلہ کرتا ہے کہ پول کا پتہ بچتا ہے یا نہیں۔ Identity NAT اسے رکھتا ہے، اور برانچ 10.77.0.20 کو ماخذ کے طور پر دیکھتی ہے۔ ترجمہ معاہدہ بدل دیتا ہے: برانچ اب ٹریفک ترجمہ شدہ پتے پر واپس بھیجتی ہے، اور اس کی اپنی پالیسی کو یہ قبول کرنا ہوگا۔ قواعد کی ترتیب طے کرتی ہے کہ crypto ACL ترجمے سے پہلے ملتا ہے یا بعد میں، اس لیے یہ فرض کرنے کے بجائے کہ کون جیتے گا، حقیقی بہاؤ پڑھیں۔

ایک ٹرانزٹ کیس کے کام کرنے کے لیے انٹرنیٹ کے عام PAT قواعد نہ مٹائیں۔ ہدف شدہ استثنا یا جان بوجھ کر بنایا گیا identity قاعدہ، باہر جانے والی پالیسی میں سوراخ کرنے سے زیادہ آسانی سے سمجھایا اور واپس لیا جا سکتا ہے۔

انکرپشن اجازت نہیں ہے

کام کرنے والی ٹنل صرف یہ ثابت کرتی ہے کہ دونوں فریق چابیاں اور منتخب کنندگان پر متفق ہیں۔ یہ نہیں بتاتی کہ یہ صارف اس سروس تک پہنچ سکتا ہے یا نہیں۔ ریموٹ رسائی کنکشن سے منسلک VPN فلٹر یا گروپ پالیسی کو اب بھی برانچ کی منزل اور پورٹ کی اجازت دینی ہوگی، اور بیرونی راستے کا انٹرفیس ACL اب بھی لاگو ہے۔

جواب کو دونوں سمتوں میں جانچیں۔ ایسا کنکشن جو کامیاب ہو جبکہ پڑوسی سروس کو ناکام ہونا چاہیے، ایک کامیاب ping سے زیادہ معلوماتی ہے، کیونکہ یہ ظاہر کرتا ہے کہ پالیسی منتخب ہے، بالکل کھلی نہیں۔ اگر جس امتحان کو مسترد ہونا چاہیے وہ کامیاب ہو جائے، تو قصور ٹنل کا نہیں؛ پالیسی کا ہے۔ دونوں نتائج تبدیلی کے ریکارڈ میں رکھیں تاکہ اگلے شخص کو معلوم ہو کہ کون سا رویہ مقصود تھا۔

hairpin یا دوسرا انٹرفیس

hairpin گزر ڈیزائن کو چھوٹا رکھتا ہے اور ایک عالمی سیٹنگ کی قیمت لیتا ہے۔ الگ انٹرفیس، یا اپنے مجازی انٹرفیس والی روٹ پر مبنی ٹنل، گزر کے راستے کو الگ کرتی ہے اور آپ کو فی انٹرفیس پالیسی دیتی ہے، بدلے میں ایڈریسنگ اور ایک اور crypto map یا پروفائل کی قیمت پر۔ کوئی بھی زیادہ درست نہیں؛ وہ مختلف طریقے سے ناکام ہوتی ہیں۔

روٹ پر مبنی ڈیزائن الگ ترتیب ہیں، اسی کنفیگریشن پر ایک چیک باکس نہیں۔ اگر آپ ایسے پر جائیں تو اوپر کی پالیسی پر مبنی crypto ACL بحث لاگو ہونا بند کر دیتی ہے اور روٹنگ ٹیبل انتخاب کا کام کرنے لگتی ہے۔

اصل کلائنٹ سے تصدیق کریں

ASA سے شروع کی گئی جانچ کا ماخذ پتہ مختلف ہوتا ہے اور وہ پول سے برانچ تک کا راستہ نہیں گزارے گی۔ پانچ اجزا کی جانچ کے لیے packet-tracer استعمال کریں، پھر اصل ریموٹ کلائنٹ سے حقیقی کنکشن کھولیں، کیونکہ ٹریسر صرف نقل کرتا ہے اور کلائنٹ کی اپنی روٹنگ اور پالیسی کی جگہ نہیں لیتا۔

منصوبہ بند تبدیلی کے بعد اس سروس سے جڑیں جو کام کرنی چاہیے، پھر اس سے جسے مسترد ہونا چاہیے، اور پھر برانچ کا واپسی راستہ یقینی بنائیں۔ Cisco کی VPN hairpin NAT کی مثالیں intra-interface اجازت، NAT اور ACL کو نظر آنے والے طور پر الگ رکھتے ہیں، اور یہی وہ ذہنی نمونہ ہے جس کی نقل کرنا لائق ہے۔