ASA hairpin: ijade intanẹẹti tabi ẹsẹ VPN laarin awọn aaye?

Awọn olumulo meji ti iwọle latọna jijin lẹhin ASA kan naa le fi trafiki jade lati inu interfaasi ita kan naa ki wọn si gba itọju ti o yatọ patapata. Ọkan nlọ si aaye ayelujara gbogbogbo, nitorina pakẹti nilo itumọ orisun ati ipa-ọna intanẹẹti. Ekeji nlọ si sẹẹva kan lẹhin ọ̀nà abẹ́lẹ̀ laarin awọn aaye ti o tun pari lori interfaasi yẹn, nitorina pakẹti nilo idanimọ, oluyan ọ̀nà abẹ́lẹ̀ ti o baamu ati ipa-ọna pada si ẹgbẹ alabara. Igbanilaaye fun interfaasi kanna jẹ ipilẹ fun awọn mejeeji ati pe kii ṣe ojutu fun ọkan.

Ẹsẹ meji, interfaasi kan

Pinnu ẹsẹ wo ni o n kọ́ ki o to tẹ ofin NAT kan, nitori awọn ofin ko le paarọ fun ara wọn. Ẹsẹ A ni lati alabara si intanẹẹti: adiresi ẹgbẹ wọle, adiresi gbogbogbo ti a tumọ jade, pada nipasẹ interfaasi kanna. Ẹsẹ B ni lati alabara si àkọ́kọ́ aladani ni ẹgbẹ keji ti ẹlẹgbẹ IPsec miiran: a tọju adiresi ẹgbẹ, a tun fi pamọ ọ, a si fi fun ẹlẹgbẹ ti o gbọdọ mọ bi o ṣe le dahun si ẹgbẹ naa.

Ohun ti awọn mejeeji nilo ni akọkọ ni igbanilaaye fun interfaasi kanna. Laisi rẹ ASA kọ lati gbe pakẹti jade lati interfaasi ti o ti de, ati ikuna naa dabi iṣoro ipa-ọna ju iṣoro eto imulo lọ:

same-security-traffic permit intra-interface

Laini kan naa fun laaye eto gbigbe, gẹgẹ bi itọkasi NAT ti ASA ṣe ṣalaye fun awọn ipa-ọna nipasẹ interfaasi kanna. Ko fi ipa-ọna alabara kun, ko fun laaye fun orisun kan, ko tumọ adiresi ati ko ṣe idunadura oluyan IPsec, nitorina reti lati fi mẹta tabi mẹrin ohun miiran kun lẹhin rẹ ki o ma ka gbigba rẹ bi ilọsiwaju.

Ẹsẹ A: alabara fẹ intanẹẹti

Fun ijade intanẹẹti adiresi ẹgbẹ gbọdọ dawọ jẹ aladani ki pakẹti to kuro ni ẹrọ naa. Ninu apẹrẹ PAT lasan ofin naa tumọ ẹgbẹ si adiresi interfaasi ita, ati ipo ipadabọ yoo mu ṣiṣan ti o lọ si alabara pada:

object network VPN_POOL
 subnet 10.80.0.0 255.255.255.0
nat (outside,outside) after-auto source dynamic VPN_POOL interface route-lookup

Lẹhinna jẹrisi pe alabara gan beere lọwọ ASA lati gbe trafiki yẹn. Iyọkuro ọ̀nà abẹ́lẹ̀ pipin fi opin irin ajo gbogbogbo ranṣẹ nipasẹ asopọ foonu funrararẹ, eyi ti ko de ASA rara, ati ko si ofin NAT ti o le tun pakẹti ti a ko fi ranṣẹ rara. Fi akojọ ọ̀nà abẹ́lẹ̀ pipin ti eto imulo ẹgbẹ wé opin irin ajo ti o n danwo.

Iyoku ẹsẹ naa jẹ lasan: ipa-ọna aiyipada tabi pato ti o le ṣee lo lati interfaasi ita, eto imulo iwọle ti o gba ṣiṣan laaye, ati DNS ti a ṣe ni ibamu si eto imulo oluyanju ti o yan. Fi kun route-lookup nibi fun idi kanna bi ni isalẹ, nitori interfaasi iwọle ati ijade jẹ kanna.

Ẹsẹ B: alabara fẹ aaye aladani

Ẹsẹ yii kuna ni ọpọlọpọ ibi, nitorina kọ ọ ni tẹlentẹle. Ni akọkọ ipa-ọna alabara: àkọ́kọ́ opin irin ajo gbọdọ wa ninu akojọ ọ̀nà abẹ́lẹ̀ pipin, bibẹẹkọ alabara kii yoo fi sii sinu ọ̀nà abẹ́lẹ̀. Ni ekeji oluyan ọ̀nà abẹ́lẹ̀: ACL fifi pamọ laarin awọn aaye gbọdọ bo adiresi ẹgbẹ si àkọ́kọ́ ti o jinna, kii ṣe LAN agbegbe si àkọ́kọ́ ti o jinna nikan. Ni ẹkẹta idanimọ, ki adiresi ẹgbẹ ma ba tumọ si PAT intanẹẹti ni ọ̀nà.

nat (outside,outside) source static VPN_POOL VPN_POOL
    destination static SITE_PREFIX SITE_PREFIX route-lookup

Ẹgbẹ ti o jinna ni apakan ti awọn eniyan gbagbe lati danwo. Ẹlẹgbẹ nilo ipa-ọna pada si ẹgbẹ ati oluyan ti o wa pẹlu rẹ, ati eto imulo tirẹ gbọdọ gba awọn adiresi orisun ti yoo rii laaye. Ti a ba lo aaye naa nipasẹ iwoye ti a tumọ dipo, iyẹn jẹ apẹrẹ to wulo, ṣugbọn nigba naa awọn ẹlẹgbẹ mejeeji, awọn oluyan mejeeji ati awọn tabili ipa-ọna mejeeji gbọdọ gba lori awọn adiresi ti a tumọ.

Tun ṣayẹwo ilana awọn ofin. Ofin PAT gbooro lori ofin idanimọ yoo tumọ paṣipaarọ aladani ki o to ṣe ayẹwo ofin idanimọ, ati ami ni ọ̀nà abẹ́lẹ̀ aaye ti ko ni SA to baamu kii ṣe aṣiṣe NAT.

Idanwo ti o sọ fun ọ ni ẹsẹ ti o kọ

Lo iṣiro ipa-ọna ti ASA funrararẹ dipo kika iṣeto ati ireti. packet-tracer input outside tcp 10.80.0.25 40000 203.0.113.10 443 detailed fi ipinnu NAT han, ipa-ọna ati abajade ACL fun ṣiṣan kan; tun ṣe pẹlu opin irin ajo aladani. Ti ipele NAT ba tun ṣiṣan aladani-si-aladani kọ, o kọ ẹsẹ A fun pakẹti ti o nilo ẹsẹ B.

Awọn aṣẹ meji si ni o di aafo naa. show nat detail tẹ ilana awọn ofin ti packet-tracer tẹle jade, ati show crypto ipsec sa fi han boya oluyan kan wa fun bata ti o n reti. SA ti o nsọnu jẹ ọrọ iṣeto oluyan tabi ẹlẹgbẹ, kii ṣe nkan ti ofin NAT le tun.

Jẹrisi ẹsẹ kọọkan pẹlu trafiki ti o n ṣe iranṣẹ

Gba ẹsẹ A pẹlu ibeere gbogbogbo lasan lati alabara, ki o si gba ẹsẹ B pẹlu ibeere si orisun aladani ti o wa nitootọ. Lẹhinna tun ṣe ọkọọkan pẹlu orisun ti a kọ, nitori “a gba laaye” ati “a fọwọsi nipasẹ eto imulo iwọle” kii ṣe ẹri kanna, ati ping ti o bẹrẹ lati hub ko ni idanwo eyikeyi ninu awọn ọ̀nà alabara.

Tọju awọn igbasilẹ idanwo meji lọtọ ninu tikẹti: adiresi orisun, opin irin ajo, ofin NAT ti o baamu ati abajade. Nigbati ijabọ ti o nbọ ba sọ “VPN ti bajẹ”, bata yẹn yoo sọ fun ọ laarin iṣẹju kan ẹsẹ wo ni o ti pada sẹhin, ati idahun nigbagbogbo jẹ ipa-ọna tabi oluyan kii ṣe laini interfaasi kanna ti gbogbo eniyan fura si akọkọ.