Split tunnel kò yọ olùpèsè àpapọ̀ kúrò nínú àwọn òfin NAT ti ASA

A sábà máa ń ṣàpèjúwe split tunnel gẹ́gẹ́ bí ọ̀nà láti dá ìrìnàjò ilé-iṣẹ́ dúró nínú tunnel kí ìyókù intanẹẹti wà ní ìta firewall. Àwọn apá méjì ti àpèjúwe yẹn yàtọ̀ síra ní ọ̀nà kan náà. Split tunnel jẹ́ ìpinnu ọ̀nà tí ẹ̀rọ ìbánisọ̀rọ̀ ṣe, àti ìpinnu ọ̀nà kò sọ ohunkóhun nípa ohun tó máa ṣẹlẹ̀ sí pákẹ́tì lẹ́yìn tí ó bá dé headend.

Iṣẹ́ alábàákẹ́gbẹ́ kan ṣoṣo lórí àdírẹ́sì àpapọ̀, tí ó gbìyànjú láti rí àdírẹ́sì ilé-iṣẹ́ rẹ, ti tó láti já ọ̀rọ̀ yìí.

Àròsọ: split tunnel ń yọ firewall kúrò nínú ọ̀nà

Ìgbàgbọ́ ni pé ibi-àfojúsùn kankan ní ìta àwọn ìwọ̀n àdáni yóò wà lórí ìsopọ̀ intanẹẹti àdúgbò, nítorí náà firewall kò ní rí i rárá, kò sì ní nílò òfin kankan fún un. Ìyẹn gbà nígbà tí ibi-àfojúsùn kò bá wà nínú àkọsílẹ̀ tunnel nìkan. Ní àkókò tí olùṣàkóso bá fi olùpèsè àpapọ̀ kúnnú ACL split-include, client yóò fi ìrìnàjò yẹn ránṣẹ́ sínú tunnel, ASA sì gbọdọ̀ ṣe ìtọ́sọ́nà, ìdánwò àti ìtumọ̀ rẹ̀ gẹ́gẹ́ bí ṣíṣàn mìíràn tí a ti ṣí ìkọ̀kọ̀ rẹ̀. Kò sóhun tó yí padà lórí client àyàfi àkọsílẹ̀ ibi-àfojúsùn.

Client kò di olùtọ́sọ́nà. Ó tẹ̀lé ìlànà tí o fún un.

Ohun tí ọ̀nà split-include ń ṣe níti gidi

Nínú ètò ìwọlé jìnnà ti Cisco ASA, ìlànà ẹgbẹ́ ń gbé split-tunnel-policy tunnelspecified àti split-tunnel-network-list tí ó dárúkọ ACL boṣewa. Gbogbo ìlà permit nínú ACL yẹn jẹ́ ibi-àfojúsùn tí client gbọdọ̀ fi ránṣẹ́ sínú tunnel, gbogbo ohun mìíràn sì ń tẹ̀síwájú láti lo ọ̀nà àkọ́kọ́ àdúgbò.

Fífi olùpèsè kan kún jẹ́ ìlà kan ṣoṣo, ìyẹn sì ni apá kan ṣoṣo ti àyípadà tí client lè rí: access-list RA-SPLIT standard permit host 203.0.113.20.

Tún client so mọ́ lẹ́yìn náà. A ń pààrọ̀ ìlànà ní àkókò ìsopọ̀, nítorí náà ìpàdé tí ó ti wà yóò pa àkọsílẹ̀ àtijọ́ mọ́ yóò sì jẹ́ kí àyípadà náà dàbí ẹni pé kò ṣe nnkan.

Pákẹ́tì ń wọlé àti jáde lórí interface kan náà

Tẹ̀lé ṣíṣàn náà báyìí lẹ́yìn ìṣí ìkọ̀kọ̀. Pákẹ́tì náà wọlé lórí interface ìta nípasẹ̀ tunnel VPN, ibi-àfojúsùn rẹ̀ jẹ́ àdírẹ́sì àpapọ̀, tábìlì ìtọ́sọ́nà sì tún fi í jáde nípasẹ̀ interface ìta yẹn sí intanẹẹti. Ìrìnàjò tí ó wọlé tí ó sì jáde lórí interface kan ni a máa ń sọ nù àyàfi tí a bá fún ASA láàyè, ìyẹn sì ni ohun tí same-security-traffic permit intra-interface ń ṣe. Láìsí rẹ̀, ìsopọ̀ yóò kùnà ní ọ̀nà tí ó dàbí ìṣòro ìtọ́sọ́nà ṣùgbọ́n kì í ṣe bẹ́ẹ̀.

Ètò yẹn jẹ́ ti gbogbo àgbáyé. Ó ń gba hairpinning láàyè fún gbogbo ṣíṣàn tí ó nílò rẹ̀, kì í ṣe fún olùpèsè alábàákẹ́gbẹ́ yìí nìkan, nítorí náà ó jẹ́ ti àyípadà tí a ti ṣàyẹ̀wò kì í ṣe ti ìdánwò kíákíá.

Ìdí tí PAT tí a fi ibi-àfojúsùn dí kì í ṣe àṣàyàn

Àdírẹ́sì orísun nínú pákẹ́tì tí a ti ṣí ìkọ̀kọ̀ ṣì jẹ́ àdírẹ́sì VPN ti client, ní ọ̀pọ̀ ìgbà láti inú adágún bí 10.77.0.0/24. Àdírẹ́sì yẹn kò ní ọ̀nà lórí intanẹẹti àpapọ̀, nítorí náà alábàákẹ́gbẹ́ yóò kúkú má dáhùn rárá tàbí yóò dáhùn sí ibi tí kò sí.

Ìtumọ̀ ń tún orísun ṣe, ó sì fi ibi-àfojúsùn sílẹ̀ láìfọwọ́ kàn. Nítorí pé a ti ṣàlàyé àwọn ohun náà níbòmíràn, òfin àfọwọ́kàn tí a fi ibi-àfojúsùn yìí dí ní irú yìí:

same-security-traffic permit intra-interface

object network RA_POOL
 subnet 10.77.0.0 255.255.255.0
object network PARTNER_HOST
 host 203.0.113.20

nat (outside,outside) source dynamic RA_POOL interface destination static PARTNER_HOST PARTNER_HOST

Apá destination static ṣe pàtàkì. Bí o bá fi í sílẹ̀, òfin yóò di ìtumọ̀ gbòòrò tí ó lè bá ìrìnàjò púpọ̀ jù bí a ti wí lọ, òfin identity gbòòrò tí ó wà ṣáájú nínú ìtòlẹ́sẹẹsẹ sì lè borí èyí pátápátá. Ṣàyẹ̀wò show nat detail àti ìtòlẹ́sẹẹsẹ àwọn apá kí o tó rò pé òfin rẹ ni ó bá a mu.

PAT interface tún túmọ̀ sí pé alábàákẹ́gbẹ́ rí àdírẹ́sì interface ASA, èyí tí a lè tún túmọ̀ lẹ́ẹ̀kan síi ní ìsàlẹ̀ odò. Bí àdéhùn bá dárúkọ àdírẹ́sì kan, jẹ́rìí rẹ̀ láti ìbẹ̀rẹ̀ dé òpin kì í ṣe ní ìfojú kan.

Fi ibi-àfojúsùn ìdánwò tí ó tọ́ fi í hàn

Lo olùpèsè alábàákẹ́gbẹ́ fúnra rẹ̀, kì í ṣe ojú-ìwé what-is-my-ip gbogbogbò. Ojú-ìwé yẹn wà ní ìta àkọsílẹ̀ split ó fẹ́rẹ̀ẹ̀ jẹ́ dájú, nítorí náà ó ń jábọ̀ àdírẹ́sì intanẹẹti àdúgbò rẹ, kò sì sọ ohunkóhun nípa ọ̀nà yìí. Ṣí ìsopọ̀ tuntun sí iṣẹ́ alábàákẹ́gbẹ́ kí o sì béèrè orísun tí wọ́n ṣàkíyèsí, tàbí ṣe packet-tracer input outside tcp 10.77.0.10 12345 203.0.113.20 443 detailed kí o sì ka àwọn ìgbésẹ̀ NAT àti ìtọ́sọ́nà ní ìlà kọ̀ọ̀kan. Traceroute láti client jẹ́ ìṣàyẹ̀wò tí ó rẹ̀wẹ̀sì jù, nítorí pé ó ń fi ọ̀nà tí ó ti ṣẹlẹ̀ tẹ́lẹ̀ hàn, kì í ṣe ìlànà tí ó yàn án.

Lẹ́yìn náà ṣàyẹ̀wò ohun tí kò gbọdọ̀ yí padà. Ojú-ìwé wẹ́ẹ̀bù lasan gbọdọ̀ ṣì jáde nípasẹ̀ ìsopọ̀ àdúgbò, àti ohun àmúṣọrọ̀ àdáni nínú àkọsílẹ̀ tunnel gbọdọ̀ ṣì wà ní àrékúkú. Àyípadà tí ó tún alábàákẹ́gbẹ́ ṣe tí ó sì ba ọ̀kan nínú àwọn méjì yẹn jẹ́ àṣìṣe mìíràn.

Ẹ̀yà tí ó ń ṣiṣẹ́ ti ètò yìí kúrú: olùpèsè kan nínú ACL split, ààyè hairpin, òfin PAT kan tí a fi ibi-àfojúsùn dí. Gbogbo ohun mìíràn nínú ìtàn náà ni àròsọ.