VPN trafigi uchun ASA identity NAT va IOS NAT istisnosi

Cisco shlyuzlarida ASA identity NAT ham, IOS NAT tasniflagichi istisnosi ham VPN manzillarini saqlaydi. Qoidalar tarjima qayerda o'tkazib yuborilishi bilan farq qiladi.

Filial internet PAT va saytlararo VPNni bitta Cisco shlyuzida yuritadi va NAT qo'shilgan zahoti VPN ishlashdan to'xtaydi. Tunnel ichidagi manzillar crypto ACL himoya qiladigan manzillarga endi mos kelmaydi yoki qarshi tomon marshruti yo'q tarjima qilingan manzillarni ko'radi. Cisco buni ikki joyda hal qiladi: ASA manzilni o'ziga moslashtiruvchi NAT qoidasini tanlaydi, IOS esa ACL ichidagi deny orqali oqimni tarjima qoidasidan tashqarida ushlab turadi. Ikkalasi ham asl manzillarni saqlaydi va hech biri NAT ishlovini chetlab o'tmaydi.

Qoida tanlashdan oldin oqimni yozib oling

Himoya qilmoqchi bo'lgan oqimni yozishdan boshlang: mahalliy LAN manbasi, uzoq manzil va IPsec siyosati himoya qiladigan aniq manzil jufti. Buni qoidani tahrirlashdan oldin qiling, chunki bu to'plam qaysi tasniflagich yoki NAT qoidasi mos kelishi kerakligini ko'rsatadi.

So'ngra o'ylagan qoidangizni emas, haqiqatda mos kelgan qoidani toping. Ikkala platformada ham NAT ma'lum tartibda baholanadi va sizning istisnongiz ko'rib chiqilishidan oldin oldingi qoida g'alaba qozonishi mumkin. To'g'ri ko'rinadigan, ammo boshqa qoidaga yutqazadigan istisno kutilgan paketni himoya siyosatiga hech qachon topshirmaydi. Alomat istisno yo'qligidagi bilan bir xil, shuning uchun konfiguratsiyani o'zgartirishdan oldin qoidalar tartibini o'qish kerak.

ASA identity NAT bu qoida, chetlab o'tish emas

ASA da identity NAT tarjima qilingan manzili asl manzilga teng bo'lgan NAT qoidasi. U boshqa har qanday qoida kabi tanlanadi va baribir tarjima yozuvini o'rnatadi, shuning uchun paket NAT ishlovini o'tkazib yubormaydi. O'zgaradigan narsa tarmoqdagi manzillar o'zgarishsiz qoladi, IPsec siyosatiga aynan shu kerak.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Qoidaning interfeyslari va uning route-lookup sozlamasi uzatish loyihasiga mos bo'lishi kerak. Manzilni to'g'ri moslashtiruvchi, ammo noto'g'ri interfeys juftiga qo'llanadigan qoida sizning oqimingiz uchun tanlanmaydi. Route-lookup tarjima qilingan paket marshrutlanishini yoki asl manzil ishlatilishini hal qiladi va bu qaytish trafigi tunnel orqali qaytishini belgilaydi.

ASA ning o'ziga boshqaruv kirishi alohida holat. Boshqaruv trafigi uchun identity NAT ishlatsangiz, versiyaga bog'liq route-lookup talabi amal qiladi va VPN misolidan ko'chirilgan keng istisno SSHni tuzatmaydi.

IOS NAT ACL dagi deny bu yerda tanlanmagan degani

IOS da internet NAT manbalar ro'yxati bilan boshqariladi va bu ACL filtr emas, tasniflagich. Permit satri trafikni tarjima uchun tanlaydi; deny satri paket bu yerda tanlanmaganini bildiradi. Bu deny interfeys ACL idagi deny kabi paketni tashlash buyrug'i emas.

Bu yerda tanlanmagan hech qayerda tarjima qilinmaganidan ham torroq. Boshqa NAT qoidasi, boshqa interfeys yoki route-map oqimni baribir tarjima qilishi mumkin, shuning uchun butun NAT jadvalini o'qish kerak. Paketga baribir marshrut, mos crypto ACL va haqiqiy kirish nazorati chegaralarida ruxsat kerak.

Minimal IOS tartibi deny ni o'sha ro'yxatda permit dan yuqoriga qo'yadi va overload qoidasini o'sha ro'yxatga yo'naltiradi. Shunda crypto ACL deny tarjimadan chiqargan juftni himoya qiladi.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Ikkala model uchun bitta tekshiriladigan savol

Ikkala model ham bir savolga javob beradi: bu oqimga qaysi qoida mos keldi va qaysi manzillar interfeysdan chiqdi? Tashqi interfeysda ushlang va manba manzilini shlyuzdan oldin va keyin solishtiring. So'ngra qarshi tomonning tunnelga qarashini tekshiring, chunki SA ko'tarilgan bo'lishi mumkin, himoyalangan oqim esa boshqa joyda tarjima qilinmoqda.

ASA da nat detail va tarjimalar jadvalini ko'rsating; IOS da ip nat translations va tegishli ACL hisoblagichlarini ko'rsating. Hech qachon o'smaydigan qoida hech qachon tanlanmagan va bu crypto konfiguratsiyasiga emas, tartib, interfeys yoki yo'nalishga ishora qiladi.

Konfiguratsiya odatda qayerda xato bo'ladi

Ko'p uchraydigan nosozliklar mexanik. Deny permit ostida turadi va hech qachon mos kelmaydi. Tasniflagich noto'g'ri yo'nalishda qo'llanadi, shuning uchun qaytish oqimi tarjima qilinadi. Identity qoidasi to'g'ri manzillarni, ammo noto'g'ri interfeys juftini qamrab oladi. Crypto ACL NAT qoidasi taqdim etganiga endi mos kelmaydigan quyi tarmoqni himoya qiladi.

Asl va taqdim etilgan manzil juftini qoida egasining yoniga yozib qo'ying, shunda keyingi muhandis tasniflagich nima uchun tarjimani rad etishini, firewall esa ilovaga ruxsat berishini ko'radi. Buni shaxsiy eslatmada emas, o'zgartirish chiptasida saqlang. So'ngra har qanday NAT o'zgarishidan keyin oqimni qayta ishga tushiring, chunki qoida matni o'zgarmasa ham qoidalar tartibi konfiguratsiyaning qismi. Ko'tarilgan tunnel manzillar saqlanib qolganining isboti emas; faqat ushlangan paket va qarshi tomonning dekapsulyatsiyadan keyingi ko'rinishi isbot.

O'xshash maqolalar