ASA VPN hairpin: ikkita tunnelni bitta interfeys orqali yo'naltirish

Masofaviy foydalanuvchi ASA ga ulanadi, filial orqasidagi xostni so'raydi va ASA bu so'rovni foydalanuvchi kirgan aynan o'sha interfeys orqali chiqarib yuboradi. Buning hech bir qismi ikkinchi jismoniy portni talab qilmaydi. Talab qiladigan narsa to'rtta mustaqil qarordir, odamlar ularni bittaga birlashtirishga moyil: hairpin qilishga ruxsat, to'g'ri manzillarni himoya qiluvchi tunnel, va'da qilgan manbani saqlovchi NAT siyosati va xizmatni ruxsat etuvchi kirish siyosati.

Bitta paket, ikkita tunnel

Oqimni kuzating va amallar tartibi sirli bo'lishdan to'xtaydi. Paket masofaviy kirish tunneli ichida keladi, shifrdan chiqariladi va mijozlar hovuzidan manba olgan oddiy IP paketga aylanadi. So'ngra ASA uni yo'naltiradi, saytdan saytga crypto ACL bilan solishtiradi, qayta shifrlaydi va tashqi interfeysdan filial tomon yuboradi.

Quyidagi manzillar misol uchun, ammo shakl muhim: manba hovuzdir, ASA ning ichki LAN i emas.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Bundan ikkita narsa kelib chiqadi. Mijozga filial prefiksi uchun o'zining masofaviy kirish ulanishi orqali marshrut kerak, ya'ni split-tunnel yoki yuboriladigan marshrutlar ro'yxati uni o'z ichiga olishi kerak. Filial esa trafikni 10.77.0.20 ga yoki NAT loyihangiz almashtirgan manzilga qanday qaytarishni bilishi kerak.

Hairpin ruxsati globaldir

Odamlar murojaat qiladigan buyruq bu: same-security-traffic permit intra-interface. U trafikning bir xil interfeysga kirib, undan chiqishiga imkon beradi, bu aynan shu yo'lga kerak. Bu ham global sozlamadir: uni yoqish bir xil interfeysdan ikki marta o'tadigan boshqa oqimlarning xatti-harakatini o'zgartiradi.

Shuning uchun u disk raskadrovka sessiyasiga emas, o'zgarishlar yozuviga tegishli. Qurilmada yana nima endi shu interfeys yo'lini olishi mumkinligini va ulardan birortasi olishi kerakmi, deb so'rang. Mehmon tarmoqlari yoki bir-birining ustiga tushgan hamkor tunnellari bo'lgan gavjum chekkada javob avtomatik ravishda yo'q emas. Sababni sozlama yoniga yozib qo'ying, chunki keyingi muhandis buyruqni topadi, suhbatni emas.

Himoya qamrovi va NAT alohida

Saytdan saytga tunnel o'zining crypto ACL tanlagan narsani himoya qiladi. Agar bu ACL manba sifatida ASA ning ichki quyi tarmog'ini ko'rsatsa, masofaviy kirish hovuzi himoyalanmagan va paket yo tashlab yuboriladi, yo mos kelmaydigan trafikka platforma munosabatiga qarab ochiq yuboriladi. Loyiha hovuz manzillarini saqlasa, hovuzni himoyalangan oqimga qo'shing.

So'ngra NAT hovuz manzili saqlanib qolishini hal qiladi. Identity NAT uni saqlaydi va filial 10.77.0.20 ni manba sifatida ko'radi. Tarjima shartnomani o'zgartiradi: filial endi trafikni tarjima qilingan manzilga qaytaradi va uning o'z siyosati buni qabul qilishi kerak. Qoidalar tartibi crypto ACL tarjimadan oldin yoki keyin mos kelishini belgilaydi, shuning uchun qaysi biri yutishini taxmin qilish o'rniga haqiqiy oqimni o'qing.

Bitta tranzit holati ishlashi uchun internetning umumiy PAT qoidalarini o'chirmang. Maqsadli istisno yoki qasddan qilingan identity qoidasi chiqish siyosatidagi teshikdan ko'ra osonroq tushuntiriladi va bekor qilinadi.

Shifrlash ruxsat emas

Ishlayotgan tunnel faqat ikki tomon kalitlar va selektorlar bo'yicha kelishganini isbotlaydi. Bu foydalanuvchi o'sha xizmatga yeta oladimi-yo'qmi haqida hech narsa demaydi. Masofaviy kirish ulanishiga bog'langan VPN filtri yoki guruh siyosati hali ham filial manzili va portiga ruxsat berishi kerak, tashqi yo'ldagi interfeys ACL esa hali ham amal qiladi.

Javobni ikkala yo'nalishda sinab ko'ring. Qo'shni xizmat muvaffaqiyatsiz bo'lishi kerak bo'lganda muvaffaqiyatli bo'lgan ulanish bitta muvaffaqiyatli pingdan ko'ra ko'proq ma'lumot beradi, chunki siyosat butunlay ochiq emas, tanlab ishlashini ko'rsatadi. Taqiqlanishi kerak bo'lgan sinov muvaffaqiyatli bo'lsa, aybdor tunnel emas, siyosat. Ikkala natijani ham o'zgarishlar yozuvida saqlang, shunda keyingi odam qaysi xatti-harakat ko'zda tutilganini biladi.

Hairpin yoki ikkinchi interfeys

Hairpin tranziti loyihani kichik saqlaydi va bitta global sozlamaga tushadi. Alohida interfeys yoki o'z virtual interfeysiga ega marshrutga asoslangan tunnel tranzit yo'lni izolyatsiya qiladi va sizga har bir interfeys uchun siyosat beradi, evaziga manzillash va yana bitta crypto map yoki profil. Hech biri to'g'riroq emas; ular turlicha muvaffaqiyatsizlikka uchraydi.

Marshrutga asoslangan loyihalar boshqa tartib, bir xil konfiguratsiyadagi katakcha emas. Agar shundayiga o'tsangiz, yuqoridagi siyosatga asoslangan crypto ACL muhokamasi amal qilishdan to'xtaydi va tanlov ishini marshrutlash jadvali bajaradi.

Haqiqiy mijozdan tekshiring

ASA dan ishga tushirilgan tekshiruv boshqa manba manziliga ega va hovuzdan filialgacha bo'lgan yo'lni bosib o'tmaydi. Beshlikni tekshirish uchun packet-tracer dan foydalaning, so'ngra haqiqiy masofaviy mijozdan haqiqiy ulanish oching, chunki kuzatuvchi faqat simulyatsiya qiladi va mijozning o'z marshrutlashi va siyosatini almashtirmaydi.

Rejalashtirilgan o'zgarishdan so'ng ishlashi kerak bo'lgan xizmatga, keyin rad etilishi kerak bo'lgan xizmatga ulanib, so'ngra filialning qaytish marshrutini tasdiqlang. Cisco VPN hairpin NAT misollari intra-interface ruxsatini, NAT va ACL larni ko'rinadigan tarzda alohida saqlaydi va bu ko'chirishga arziydigan fikrlash modelidir.