ASA hairpin: internetga chiqishmi yoki saytlararo VPN oyog‘imi?

Bitta ASA orqasidagi ikki masofaviy kirish foydalanuvchisi bir xil tashqi interfeysdan trafik yuborib, butunlay boshqacha munosabat ko‘rishi mumkin. Biri ommaviy veb-saytga ketmoqda, shuning uchun paketga manba tarjimasi va internet marshruti kerak. Ikkinchisi shu interfeysda tugaydigan saytlararo tunnel orqasidagi serverga ketmoqda, shuning uchun paketga identifikatsiya, mos tunnel selektori va mijozlar puliga qaytish yo‘li kerak. Bir xil interfeysga ruxsat ikkisi uchun ham shart va hech biri uchun yechim emas.

Ikki oyoq, bitta interfeys

NAT qoidasini yozishdan oldin qaysi oyoqni qurayotganingizni hal qiling, chunki qoidalar bir-birining o‘rnini bosmaydi. A oyog‘i mijozdan internetga: pul manzili ichkariga, tarjima qilingan ommaviy manzil tashqariga, shu interfeys orqali qaytadi. B oyog‘i mijozdan boshqa IPsec hamkorining qarshi tomonidagi xususiy prefiksga: pul manzili saqlanadi, qayta shifrlanadi va pulga qanday javob berishni bilishi kerak bo‘lgan hamkorga yetkaziladi.

Ikkisiga ham birinchi navbatda shu interfeysga ruxsat kerak. Usiz ASA paketni kelgan interfeysdan uzatishdan bosh tortadi va nosozlik siyosat emas, marshrutlash muammosiga o‘xshaydi:

same-security-traffic permit intra-interface

Shu bitta satr uzatish tartibiga ruxsat beradi, buni ASA NAT ma’lumotnomasi bir xil interfeys yo‘llari uchun tavsiflaydi. U mijoz marshrutini qo‘shmaydi, resursga ruxsat bermaydi, manzilni tarjima qilmaydi va IPsec selektori bo‘yicha kelishmaydi, shuning uchun undan keyin yana uch-to‘rt narsa qo‘shishni kuting va uning qabul qilinishini taraqqiyot deb o‘qimang.

A oyog‘i: mijoz internetni xohlaydi

Internetga chiqish uchun pul manzili paket qurilmadan chiqishidan oldin xususiy bo‘lishni to‘xtatishi kerak. Oddiy PAT dizaynida qoida pulni tashqi interfeys manziliga tarjima qiladi va qaytish holati mijoz tomonga oqimni tiklaydi:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Keyin mijoz haqiqatan ham ASA dan bu trafikni tashishni so‘raganini tasdiqlang. Bo‘lingan tunnel istisnosi ommaviy manzilni telefonning o‘z ulanishi orqali yuboradi, u ASA ga hech qachon yetib bormaydi va hech qachon yuborilmagan paketni hech qanday NAT qoidasi tuzatmaydi. Guruh siyosatining bo‘lingan tunnel ro‘yxatini siz sinovdan o‘tkazayotgan manzil bilan solishtiring.

Oyog‘ning qolgani odatiy: tashqi interfeysdan foydalanish mumkin bo‘lgan standart yoki aniq marshrut, oqimga ruxsat beruvchi kirish siyosati va siz tanlagan hal qiluvchi siyosatiga muvofiq ishlangan DNS. Bu yerga route-lookup quyidagi bilan bir xil sababga ko‘ra qo‘shing, chunki kirish va chiqish interfeyslari bir xil.

B oyog‘i: mijoz xususiy saytni xohlaydi

Bu oyoq ko‘proq joyda muvaffaqiyatsiz bo‘ladi, shuning uchun uni tartib bilan yozing. Avval mijoz marshruti: manzil prefiksi bo‘lingan tunnel ro‘yxatida bo‘lishi kerak, aks holda mijoz uni tunnelga qo‘ymaydi. Ikkinchidan tunnel selektori: saytlararo kripto ACL pul manzilidan uzoq prefiksgacha qamrab olishi kerak, faqat mahalliy LAN dan uzoq prefiksgacha emas. Uchinchidan identifikatsiya, pul manzili yo‘lda internet PAT ga tarjima qilinmasligi uchun.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Uzoq tomon — odamlar sinashni unutadigan qism. Hamkorga pulga qaytish marshruti va uni o‘z ichiga olgan selektor kerak, va uning o‘z siyosati ko‘radigan manba manzillariga ruxsat berishi kerak. Agar sayt uning o‘rniga tarjima qilingan ko‘rinish orqali ishlatilsa, bu to‘g‘ri dizayn, ammo unda ikkala hamkor, ikkala selektor va ikkala marshrutlash jadvali tarjima qilingan manzillar bo‘yicha kelishishi kerak.

Qoidalar tartibini ham tekshiring. Identifikatsiya qoidasi ustidagi keng PAT qoidasi xususiy almashinuvni identifikatsiya qoidasi baholanmasidan oldin tarjima qiladi va alomat NAT xatosi emas, mos SA si yo‘q sayt tunnelidir.

Qaysi oyoqni qurganingizni aytadigan sinov

Konfiguratsiyani o‘qib umid qilish o‘rniga ASA ning o‘z yo‘l baholashidan foydalaning. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed bitta oqim uchun NAT qarori, marshrut va ACL natijasini ko‘rsatadi; xususiy manzil bilan takrorlang. Agar NAT bosqichi xususiydan xususiyga oqimni qayta yozsa, B oyog‘i kerak bo‘lgan paket uchun A oyog‘ini qurgansiz.

Yana ikkita buyruq bo‘shliqni yopadi. show nat detail packet-tracer amal qilgan qoidalar tartibini chiqaradi, va show crypto ipsec sa kutilgan juftlik uchun selektor bor-yo‘qligini ko‘rsatadi. Yo‘q SA selektor yoki hamkor konfiguratsiyasi masalasi, NAT qoidasi tuzata oladigan narsa emas.

Har bir oyoqni u xizmat qiladigan trafik bilan tekshiring

A oyog‘ini mijozning oddiy ommaviy so‘rovi bilan, B oyog‘ini haqiqatan mavjud xususiy resursga so‘rov bilan qabul qiling. So‘ng har birini rad etilgan resurs bilan takrorlang, chunki “ruxsat berilgan” va “kirish siyosati tomonidan tasdiqlangan” bir xil dalil emas, markazdan chiqqan ping esa mijoz yo‘llarining hech birini sinamaydi.

Tiketda ikkita sinov yozuvini alohida saqlang: manba manzili, manzil, mos kelgan NAT qoidasi va natija. Keyingi hisobot “VPN buzilgan” desa, bu juftlik bir daqiqa ichida qaysi oyoq orqaga ketganini aytadi va javob odatda marshrut yoki selektor bo‘ladi, hamma birinchi gumon qiladigan o‘sha interfeys satri emas.