ASA identity NAT lodi si IOS NAT iyọkuro fun VPN ijabọ

Ẹka kan n ṣiṣẹ PAT intanẹẹti ati VPN ojula-si-ojula lori ẹnu-ọna Cisco kan, VPN si dẹkun iṣẹ ni akoko ti a fi NAT kun. Awọn adirẹsi inu ọna abẹlẹ ko ba ohun ti crypto ACL n daabobo mu mọ, tabi ẹgbẹ keji ri awọn adirẹsi ti a ti yipada ti ko ni ọna si. Cisco yanju eyi ni ibi meji: ASA yan ofin NAT ti o ṣe afiwe adirẹsi si ara rẹ, nigba ti IOS fi deny inu ACL tọju ṣiṣan naa ni ita ofin iyipada. Mejeeji pa awọn adirẹsi atilẹba mọ, ko si ọkan ti o fori ilana NAT kọja.

Kọ ṣiṣan naa silẹ ṣaaju yan ofin

Bẹrẹ pẹlu kikọ ṣiṣan ti o nireti lati daabobo: orisun LAN agbegbe, opin irin-ajo ti o jinna ati adirẹsi adirẹsi gangan ti eto IPsec n daabobo. Ṣe eyi ṣaaju ki o to ṣatunkọ ofin kan, nitori ẹgbẹ yii fi han olutọpa tabi ofin NAT wo ni o yẹ ki o baramu.

Lẹhinna wa ofin ti o baramu nitootọ, kii ṣe eyi ti o pinnu. Lori awọn pẹpẹ mejeeji NAT ni a ṣe ayẹwo ni ilana kan, ati pe ofin iṣaaju le bori ṣaaju ki a to gbero iyọkuro rẹ. Iyọkuro ti o dabi ẹnipe o tọ ṣugbọn ti o padanu si ofin miiran kii ṣe fi pakẹti ti a reti fun eto aabo naa. Ami naa jẹ bakanna pẹlu iyọkuro ti o padanu, nitorinaa a gbọdọ ka ilana awọn ofin ṣaaju yi iṣeto pada.

ASA identity NAT jẹ ofin, kii ṣe ipa-ọna abayọ

Lori ASA, identity NAT jẹ ofin NAT ti adirẹsi ti a ti yipada rẹ dọgba pẹlu atilẹba. A yan nigba bi ofin miiran ati pe o tun fi titẹ sii iyipada sori ẹrọ, nitorinaa pakẹti ko fori ilana NAT kọja. Ohun ti o yipada ni pe awọn adirẹsi lori nẹtiwọọki wa bi wọn ti wa, ati pe ohun ti eto IPsec nilo ni iyẹn.

nat (inside,outside) source static LAN-NET LAN-NET destination static REMOTE-NET REMOTE-NET

Awọn gigun ti ofin naa ati eto route-lookup rẹ gbọdọ ba apẹrẹ fifiranṣẹ mu. Ofin ti o ṣe afiwe adirẹsi ni deede ṣugbọn ti a fi si ori aṣiṣe adirẹsi meji kii yoo yan fun ṣiṣan rẹ. Route-lookup pinnu boya pakẹti ti a yipada yoo ni ipa-ọna tabi opin atilẹba ni a lo, ati pe eyi pinnu boya ijabọ ipadabọ yoo pada wa nipasẹ ọna abẹlẹ.

Wiwọle iṣakoso si ASA funrarẹ jẹ ọrọ ọtọ. Ti o ba lo identity NAT fun ijabọ iṣakoso, ibeere route-lookup ti o da lori itujade yoo waye, ati pe iyọkuro gbooro ti a daakọ lati apẹẹrẹ VPN kii yoo tun SSH ṣe.

Deny ninu IOS NAT ACL tumọ si a ko yan rẹ nibi

Lori IOS, NAT intanẹẹti ni a dari nipasẹ atokọ orisun, ati pe ACL yẹn jẹ olutọpa, kii ṣe àlẹmọ. Laini permit yan ijabọ fun iyipada; laini deny tumọ si a ko yan pakẹti nibi. Deny yẹn kii ṣe aṣẹ lati ju pakẹti naa bi deny ninu ACL gigun.

A ko yan rẹ nibi tun jẹ dín ju a ko yipada rẹ ni ibikibi. Ofin NAT miiran, gigun miiran tabi route-map le tun yipada ṣiṣan naa, nitorinaa gbogbo tabili NAT gbọdọ ni a ka. Pakẹti tun nilo ipa-ọna, crypto ACL ti o baramu ati igbanilaaye ni awọn aala iṣakoso iwọle gidi.

Eto IOS ti o kere julọ fi deny soke permit ninu atokọ kanna ati tọka ofin overload si atokọ yẹn. Nigba naa crypto ACL daabobo adirẹsi kanna ti deny yọ kuro ninu iyipada.

ip access-list extended NAT-ACL
 deny ip 10.10.0.0 0.0.0.255 192.0.2.0 0.0.0.255
 permit ip 10.10.0.0 0.0.0.255 any
ip nat inside source list NAT-ACL interface GigabitEthernet0/1 overload

Ibeere kan ti a le danwo fun awọn awoṣe mejeeji

Awọn awoṣe mejeeji dahun ibeere kanna: ofin wo ni o baramu ṣiṣan yii, ati awọn adirẹsi wo ni o kuro ni gigun? Ya aworan lori gigun ode ki o si fi adirẹsi orisun wé ṣaaju ati lẹhin ẹnu-ọna. Lẹhinna ṣayẹwo oju ẹgbẹ keji lori ọna abẹlẹ, nitori SA le wa ni oke nigba ti a n yipada ṣiṣan ti a daabobo ni ibomiiran.

Lori ASA ṣe afihan nat detail ati tabili iyipada; lori IOS ṣe afihan ip nat translations ati awọn kika ACL ti o baramu. Ofin ti ko dagba rara ni a ko yan rara, ati pe eyi tọka si ilana, gigun tabi itọsọna kii ṣe iṣeto crypto.

Ibi ti iṣeto maa n ṣe aṣiṣe

Awọn ikuna ti o wọpọ jẹ ẹrọ. Deny wa labẹ permit ati kii ṣe baramu rara. A lo olutọpa ni itọsọna ti ko tọ, nitorinaa a yipada ṣiṣan ipadabọ. Ofin identity bo awọn adirẹsi ti o tọ ṣugbọn adirẹsi gigun ti ko tọ. Crypto ACL daabobo subnet ti ko ba ohun ti ofin NAT gbe kalẹ mu mọ.

Kọ adirẹsi atilẹba ati eyi ti a gbekalẹ lẹgbẹẹ oniwun ofin, ki ẹlẹrọ ti o tẹle le rii idi ti olutọpa fi kọ iyipada nigba ti ogiri ina gba ohun elo laaye. Tọju rẹ ninu tikẹti iyipada, kii ṣe ninu akọsilẹ ikọkọ. Lẹhinna tun ṣiṣan naa ṣiṣẹ lẹhin eyikeyi iyipada NAT, nitori ilana awọn ofin jẹ apakan ti iṣeto paapaa nigba ti ọrọ ofin ko yipada. Ọna abẹlẹ ti o dide kii ṣe ẹri pe awọn adirẹsi ye; pakẹti ti a gba ati oju ẹgbẹ keji lẹhin ṣiṣi apo nikan.