ASA VPN hairpin: ìtọ́ ọ̀nà àwọn ọ̀nà abẹ́lẹ̀ méjì kọjá interface kan

Olùṣàmúlò jíjìn kan so mọ́ ASA, ó béèrè fún host kan tí ó wà lẹ́yìn ẹ̀ka, ASA sì fi ìbéèrè yẹn jáde gbà tààrà ní interface kan náà tí olùṣàmúlò ti wọlé. Kò sí ohun kan nínú ìyẹn tí ó nílò póòtù ti ara kejì. Ohun tí ó nílò ni ìpinnu mẹ́rin tí ó dúró lórí ara wọn tí àwọn ènìyàn máa ń dà pọ̀ sí ọ̀kan: ìyọ̀ǹda láti ṣe hairpin, ọ̀nà abẹ́lẹ̀ tí ó ń dáàbò bo àwọn àdírẹ́sì tí ó tọ́, ìlànà NAT tí ó ń pa orísun tí o ti ṣèlérí mọ́, àti ìlànà àyèwọlé tí ó ń fọwọ́ sí iṣẹ́ náà.

Pákẹ́tì kan, ọ̀nà abẹ́lẹ̀ méjì

Tẹ̀lé ìṣàn náà, ìlànà àwọn ìgbésẹ̀ yóò dá ṣe àṣírí. Pákẹ́tì náà dé inú ọ̀nà abẹ́lẹ̀ àyèwọlé jíjìn, a túbọ̀ rẹ̀, ó sì di pákẹ́tì IP lasan tí orísun rẹ̀ wá láti inú àkójọpọ̀ àwọn oníbàárà. Lẹ́yìn náà ASA tọ́ ọ̀nà rẹ̀, ó fi wé crypto ACL láti ibi dé ibi, ó tún ṣe ìkóòdù rẹ̀, ó sì fi jáde ní interface ìta sí ọ̀dọ̀ ẹ̀ka náà.

Àwọn àdírẹ́sì tí ó wà nísàlẹ̀ jẹ́ àpẹẹrẹ, ṣùgbọ́n ìrísí rẹ̀ ṣe pàtàkì: orísun ni àkójọpọ̀, kì í ṣe LAN inú ASA.

remote client 10.77.0.20
  -> remote-access tunnel, terminated on ASA outside
  -> decrypted, routed, matched against site-to-site policy
  -> site-to-site tunnel, sent from ASA outside
  -> branch host 10.60.20.10

Ohun méjì tẹ̀lé e. Oníbàárà náà nílò ọ̀nà fún ìpilẹ̀ṣẹ̀ ẹ̀ka náà nípasẹ̀ ìsopọ̀ àyèwọlé jíjìn rẹ̀, èyí tí ó túmọ̀ sí pé split-tunnel tàbí àkójọ àwọn ọ̀nà tí a ti tẹ jáde gbọ́dọ̀ ní í nínú. Ẹ̀ka náà sì gbọ́dọ̀ mọ bí yóò ṣe dá ìṣàn náà padà sí 10.77.0.20 tàbí sí àdírẹ́sì tí àpẹẹrẹ NAT rẹ ti rọ́pò rẹ̀.

Ìyọ̀ǹda hairpin jẹ́ ti gbogbo agbáyé

Òfin tí àwọn ènìyàn máa ń tẹ̀lé ni same-security-traffic permit intra-interface. Ó ń gba ìṣàn láàyè láti wọlé àti jáde ní interface kan náà, èyí tí ó jẹ́ gbogbo ohun tí ọ̀nà yìí nílò. Ó tún jẹ́ ètò gbogbo agbáyé: mímú u ṣiṣẹ́ yóò yí ìhùwàsí àwọn ìṣàn mìíràn padà tí wọ́n bá kọjá interface kan náà lẹ́ẹ̀mejì.

Ìdí nìyẹn tí ó fi yẹ kí ó wà nínú àkọsílẹ̀ àyípadà dípò ìgbà àdánwò àṣìṣe. Béèrè ohun mìíràn tí ó wà lórí ẹ̀rọ náà tí ó lè gbà ọ̀nà interface kan náà báyìí, àti bóyá ó yẹ kí ìkan nínú wọn ṣe bẹ́ẹ̀. Ní etí ọ̀nà tí ó kún fún àwọn nẹ́tíwọ́kì àlejò tàbí àwọn ọ̀nà abẹ́lẹ̀ alábàáṣepọ̀ tí ó gun ara wọn, ìdáhùn kì í ṣe rárá lọ́nà àìlójú. Kọ ìdí náà sẹ́gbẹ̀ẹ́ ètò náà, nítorí pé amọ̀nà mọ̀lẹ́kèlẹ̀ tó kàn yóò rí òfin náà, kì í rí ìjíròrò náà.

Ìwọ̀n ààbò àti NAT yàtọ̀

Ọ̀nà abẹ́lẹ̀ láti ibi dé ibi ń dáàbò bo ohunkóhun tí crypto ACL rẹ̀ yàn. Bí ACL yẹn bá dárúkọ subnet inú ASA gẹ́gẹ́ bí orísun, a kò dáàbò bo àkójọpọ̀ àyèwọlé jíjìn náà, pákẹ́tì náà yóò sì jẹ́ kí a sọ ọ́ nù tàbí kí a fi í ránṣẹ́ ní gbangba, ní ìbámu pẹ̀lú ìhùwàsí pẹpẹ fún ìṣàn tí kò báramu. Fi àkójọpọ̀ náà kún ìṣàn tí a dáàbò bo nígbà tí àpẹẹrẹ náà bá ń pa àwọn àdírẹ́sì àkójọpọ̀ mọ́.

Lẹ́yìn náà NAT yóò pinnu bóyá àdírẹ́sì àkójọpọ̀ náà yóò wà. Identity NAT ń pa á mọ́, ẹ̀ka náà sì rí 10.77.0.20 gẹ́gẹ́ bí orísun. Ìtúmọ̀ yóò yí àdéhùn náà padà: ẹ̀ka náà yóò dá ìṣàn náà padà sí àdírẹ́sì tí a ti túmọ̀ báyìí, ìlànà rẹ̀ fúnra rẹ̀ sì gbọ́dọ̀ gbà á. Ìtòlẹ̀sẹ̀ àwọn òfin yóò pinnu bóyá crypto ACL báramu kí ìtúmọ̀ tó dé tàbí lẹ́yìn rẹ̀, nítorí náà kà ìṣàn gidi náà dípò kí o rò pé èwo ni yóò borí.

Má ṣe pa àwọn òfin PAT gbogbogbòò ilé-ìjábọ̀ mọ́ kí ọ̀ràn ìkọjá kan lè ṣiṣẹ́. Ìyọkúró tí a fọkàn sí tàbí òfin identity tí a mọ̀ọ́mọ̀ ṣe rọ̀rùn láti ṣàlàyé àti láti yí padà ju ihò kan nínú ìlànà jáde lọ.

Ìkóòdù kì í ṣe ìyọ̀ǹda

Ọ̀nà abẹ́lẹ̀ tí ó ń ṣiṣẹ́ kì í ṣe àfi jẹ́rìí pé ẹ̀gbẹ́ méjì gbà lórí àwọn kọ́kọ́rọ́ àti àwọn olùyàn. Kò sọ ohunkóhun nípa bóyá olùṣàmúlò yìí lè dé iṣẹ́ yẹn. Àlẹ̀mọ́ VPN tàbí ìlànà ẹgbẹ́ tí ó so mọ́ ìsopọ̀ àyèwọlé jíjìn gbọ́dọ̀ ṣì gba ibi àti póòtù ẹ̀ka náà láàyè, ACL interface ní ọ̀nà ìta sì ṣì wà ní ipa.

Dán ìdáhùn wò ní ọ̀nà méjèèjì. Ìsopọ̀ tí ó ṣàṣeyọrí nígbà tí iṣẹ́ aládùúgbò kan yẹ kí ó kùnà ń fúnni ní ìsọfúnni ju ping kan tí ó ṣàṣeyọrí lọ, nítorí pé ó fi hàn pé ìlànà náà jẹ́ aláṣàyàn, kì í ṣe ṣíṣí pátápátá. Bí àdánwò tí ó yẹ kí a kọ̀ bá ṣàṣeyọrí, ọ̀nà abẹ́lẹ̀ kì í ṣe ẹlẹ́bi; ìlànà náà ni. Tọ́jú àwọn àbájáde méjèèjì nínú àkọsílẹ̀ àyípadà kí ẹni tó kàn lè mọ ìhùwàsí tí a ní lọ́kàn.

Hairpin tàbí interface kejì

Ìkọjá hairpin ń pa àpẹẹrẹ náà mọ́ kéré, ó sì ná ètò gbogbo agbáyé kan. Interface ọ̀tọ̀ọ̀tọ̀, tàbí ọ̀nà abẹ́lẹ̀ tí ó dá lórí ọ̀nà pẹ̀lú interface àròyé tirẹ̀, yóò ya ọ̀nà ìkọjá náà sọ́tọ̀, yóò sì fún ọ ní ìlànà fún interface kọ̀ọ̀kan, ní ìdíyelé àdírẹ́sì àti crypto map tàbí profáìlì mìíràn. Kò sí èyí tí ó tọ́ jù; wọ́n kùnà ní ọ̀nà ọ̀tọ̀ọ̀tọ̀.

Àwọn àpẹẹrẹ tí ó dá lórí ọ̀nà jẹ́ ìṣètò mìíràn, kì í ṣe àpótí àmì ní orí àkójọpọ̀ kan náà. Bí o bá lọ sí irú rẹ̀, ìjíròrò crypto ACL tí ó dá lórí ìlànà tí ó wà lókè yóò dá ṣíṣe, tábìlì ìtọ́ ọ̀nà yóò sì bẹ̀rẹ̀ ṣiṣẹ́ yíyan.

Ṣe àyẹ̀wò láti ọ̀dọ̀ oníbàárà gidi

Àwọn àyẹ̀wò tí ó bẹ̀rẹ̀ láti ASA ní àdírẹ́sì orísun mìíràn, kò sì ní gba ọ̀nà láti àkójọpọ̀ dé ẹ̀ka náà. Lo packet-tracer láti ṣàyẹ̀wò ìdì márùn-ún, lẹ́yìn náà ṣí ìsopọ̀ gidi kan láti ọ̀dọ̀ oníbàárà jíjìn gidi náà, nítorí pé olùtẹ̀lé ń ṣe àfarawé, kò sì rọ́pò ìtọ́ ọ̀nà àti ìlànà oníbàárà fúnra rẹ̀.

Lẹ́yìn àyípadà tí a ti ṣètò, so mọ́ iṣẹ́ kan tí ó yẹ kí ó ṣiṣẹ́, lẹ́yìn náà sí èyí tí ó yẹ kí a kọ̀, lẹ́yìn náà jẹ́rìí ọ̀nà ìpadà ẹ̀ka náà. àwọn àpẹẹrẹ NAT hairpin VPN ti Cisco ń pa ìyọ̀ǹda intra-interface, NAT àti ACL mọ́ sọ́tọ̀ lọ́nà tí ó hàn, ìyẹn sì ni àwòrán ìrònú tí ó yẹ kí a dà pẹ̀lú.