Split tunnel ommaviy xostni ASA NAT qoidalaridan ozod qilmaydi

Split tunnel odatda korporativ trafikni tunnel ichida, internetning qolgan qismini esa xavfsizlik devoridan tashqarida ushlab turish usuli sifatida ta’riflanadi. Bu ta’rifning ikkala yarmi ham bir xil tarzda noto’g’ri. Split tunnel — bu mijoz qabul qiladigan marshrut qarori, marshrut qarori esa paket headendga yetgandan keyin nima bo’lishi haqida hech narsa aytmaydi.

Ommaviy manzildagi bitta hamkor xizmati, sizning bosh ofisingiz manzilini ko’rishni talab qilsa, bu hikoyani buzish uchun yetarli.

Afsona: split tunnel xavfsizlik devorini yo’ldan chiqaradi

E’tiqod shuki, xususiy diapazonlardan tashqaridagi har qanday manzil mahalliy internet ulanishida qoladi, shuning uchun xavfsizlik devori uni hech qachon ko’rmaydi va unga hech qachon qoida kerak bo’lmaydi. Bu faqat manzil tunnel ro’yxatida bo’lmaguncha to’g’ri. Operator ommaviy xostni split-include ACL ga qo’shgan lahzada mijoz bu trafikni tunnelga yuboradi va ASA uni boshqa har qanday shifri ochilgan oqim kabi yo’naltirishi, filtrlashi va tarjima qilishi kerak. Mijozda manzillar ro’yxatidan boshqa hech narsa o’zgarmadi.

Mijoz routerga aylanmadi. U siz bergan siyosatga amal qildi.

split-include marshruti aslida nima qiladi

Cisco ASA masofaviy kirish sozlamasida guruh siyosati split-tunnel-policy tunnelspecified va standart ACL nomini beruvchi split-tunnel-network-list ni olib yuradi. O’sha ACL dagi har bir permit satri mijoz tunnelga yuborishi kerak bo’lgan manzil, qolgan hamma narsa mahalliy standart marshrutdan foydalanishda davom etadi.

Bitta xost qo’shish bitta satr, va bu o’zgarishning mijoz ko’ra oladigan yagona qismi: access-list RA-SPLIT standard permit host 203.0.113.20.

Shundan keyin mijozni qayta ulang. Siyosat ulanish paytida almashinadi, shuning uchun o’rnatilgan sessiya eski ro’yxatni saqlaydi va o’zgarish hech narsa qilmagandek ko’rinadi.

Paket bir xil interfeysdan kiradi va chiqadi

Endi shifr ochilgandan keyingi oqimni kuzating. Paket VPN tunneli orqali tashqi interfeysga kirdi, uning manzili ommaviy manzil, marshrutlash jadvali esa uni o’sha tashqi interfeysdan yana internetga qarab yuboradi. Bitta interfeysdan kirib chiqadigan trafik ASA ruxsat bermasa tashlanadi va aynan shuni same-security-traffic permit intra-interface qiladi. Busiz ulanish marshrutlash muammosiga o’xshab ko’rinadigan, lekin unday bo’lmagan tarzda muvaffaqiyatsiz bo’ladi.

Bu sozlama global. U har bir kerakli oqim uchun hairpinning ruxsatini beradi, faqat shu hamkor xosti uchun emas, shuning uchun u tez sinovga emas, ko’rib chiqilgan o’zgarishga tegishli.

Nega manzil bilan cheklangan PAT majburiy

Shifri ochilgan paketning manba manzili hali ham mijozning VPN manzili, odatda 10.77.0.0/24 kabi hovuzdan. Bu manzilning ommaviy internetda marshruti yo’q, shuning uchun hamkor yo hech qachon javob bermaydi, yo hech qayerga javob beradi.

Tarjima manbani to’g’rilaydi va manzilni tegmasdan qoldiradi. Obyektlar allaqachon boshqa joyda aniqlanganligi sababli, shu manzil bilan cheklangan qo’lda yozilgan qoida shunday ko’rinishga ega:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

destination static qismi muhim. Uni tashlab yuborsangiz, qoida mo’ljallangandan ancha ko’p trafikka mos kelishi mumkin bo’lgan keng tarjimaga aylanadi va tartibda oldinroq turgan keng identity qoidasi buni butunlay yengishi mumkin. O’z qoidangiz mos keladi deb o’ylashdan oldin show nat detail va bo’limlar tartibini tekshiring.

Interfeys PAT ham shuni anglatadiki, hamkor ASA interfeys manzilini ko’radi, u yuqorida yana tarjima qilinishi mumkin. Agar shartnoma manzilni nomlasa, uni bitta sakrashda emas, boshidan oxirigacha tasdiqlang.

To’g’ri sinov manzili bilan isbotlang

Umumiy what-is-my-ip sahifasini emas, hamkor xostning o’zini ishlating. O’sha sahifa split ro’yxatidan tashqarida bo’lishi deyarli aniq, shuning uchun u mahalliy internet manzilingizni xabar qiladi va bu yo’l haqida hech narsa aytmaydi. Hamkor xizmatiga yangi ulanish oching va ular qaysi manbani kuzatganini so’rang yoki packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed ni ishga tushirib, NAT va marshrutlash bosqichlarini satrma-satr o’qing. Mijozdan olingan traceroute zaifroq tekshiruv, chunki u allaqachon sodir bo’lgan yo’lni ko’rsatadi, uni tanlagan siyosatni emas.

Keyin nima o’zgarmasligi kerakligini tekshiring. Oddiy veb-sayt hali ham mahalliy ulanishdan chiqishi kerak, tunnel ro’yxatidagi xususiy resurs esa hali ham yetib boriladigan bo’lishi kerak. Hamkorni tuzatib, shu ikkisidan birini buzadigan o’zgarish boshqa xato.

Bu dizaynning ishlaydigan versiyasi qisqa: split ACL da bitta xost, hairpin ruxsati, manzil bilan cheklangan bitta PAT qoidasi. Hikoyadagi qolgan hamma narsa afsona.