المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

مشكلة: مشاكل فحص جدار الحماية المستند إلى منطقة IOS عند تكوين NAT NVI

الحل

الأخطاء ذات الصلة

معلومات ذات صلة

المقدمة

يصف هذا المستند مشكلة تفتيش تحدث عند تكوين جدار الحماية المستند إلى منطقة IOS (ZBF) مع الواجهة الظاهرية لترجمة عنوان الشبكة (NAT NVI) في موجه Cisco IOS.

الغرض الرئيسي من هذا المستند هو شرح سبب حدوث هذه المشكلة وتزويدك بالحل المطلوب للسماح لحركة المرور المطلوبة بالمرور عبر الموجه في هذا النوع من التنفيذ.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- تكوين Cisco ZBF في موجهات IOS.

- تكوين Cisco NAT NVI في موجهات IOS.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- موجهات الخدمات المتكاملة (ISR G1)

- IOS 15M&T

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

هنا المزيد من التفاصيل حول ما NAT NVI وكيف أن يشكل هو على ال cisco مسحاج تخديد:

ال شبكة عنوان ترجمة قارن فعلي (NAT NVI) يزيل سمة المتطلب أن يشكل قارن إما NAT داخلي أو NAT خارجي. قارن يستطيع كنت شكلت أن يستعمل NAT أو لا يستعمل NAT. يسمح NVI حركة مرور بين توجيه/إعادة توجيه VPN متداخل (VRFs) في نفس موجه حافة الموفر (PE)، وحركة مرور البيانات من الداخل إلى الداخل بين الشبكات المتداخلة.

الواجهة الظاهرية NAT

مشكلة: مشاكل فحص جدار الحماية المستند إلى منطقة IOS عند تكوين NAT NVI

يواجه ZBF مشاكل في فحص حركة مرور ICMP و TCP عند تكوين NAT NVI، هنا مثال على هذه المشكلة. تم تأكيد عدم فحص حركة مرور TCP و ICMP من الداخل إلى المناطق الخارجية عند تكوين ZBF مع NAT NVI في الموجه كما هو موضح في الصورة.

تحقق من تكوين ZBF الفعلي الذي تم تطبيقه على الموجه وأكد ما يلي:

ROUTER#show ip int br

Interface                  IP-Address      OK? Method Status                Protocol

GigabitEthernet0/0         64.100.0.1      YES NVRAM  up                    up

GigabitEthernet0/1         10.1.1.254      YES NVRAM  up                    up

GigabitEthernet0/2         unassigned      YES NVRAM  administratively down down

NVI0                       10.0.0.1        YES unset  up                    up

Tunnel1                    10.0.0.1        YES NVRAM  up                    up

ROUTER#show zone security

zone self

Description: System Defined Zone

zone INSIDE

Member Interfaces:

Tunnel1

GigabitEthernet0/1

zone OUTSIDE

Member Interfaces:

GigabitEthernet0/0

Extended IP access list ACL_LAN_INSIDE_TO_OUTSIDE

10 permit ip 10.0.0.0 0.255.255.255 any (70 matches)

ROUTER#show run | b class-map

class-map type inspect match-any CMAP_FW_PASS_OUTSIDE_TO_SELF

match access-group name ACL_DHCP_IN

match access-group name ACL_ESP_IN

match access-group name ACL_GRE_IN

class-map type inspect match-any CMAP_FW_PASS_SELF_TO_OUTSIDE

match access-group name ACL_ESP_OUT

match access-group name ACL_DHCP_OUT

class-map type inspect match-any CMAP_FW_INSPECT_INSIDE_TO_OUTSIDE

match access-group name ACL_LAN_INSIDE_TO_OUTSIDE

class-map type inspect match-any CMAP_FW_INSPECT_OUTSIDE_TO_SELF

match access-group name ACL_SSH_IN

match access-group name ACL_ICMP_IN

match access-group name ACL_ISAKMP_IN

class-map type inspect match-any CMAP_FW_INSPECT_SELF_TO_OUTSIDE

match access-group name ACL_ISAKMP_OUT

match access-group name ACL_NTP_OUT

match access-group name ACL_ICMP_OUT

match access-group name ACL_HTTP_OUT

match access-group name ACL_DNS_OUT

policy-map type inspect PMAP_FW_INSIDE_TO_OUTSIDE

class type inspect CMAP_FW_INSPECT_INSIDE_TO_OUTSIDE

inspect

class class-default

drop log

policy-map type inspect PMAP_FW_SELF_TO_OUTSIDE

class type inspect CMAP_FW_INSPECT_SELF_TO_OUTSIDE

inspect

class type inspect CMAP_FW_PASS_SELF_TO_OUTSIDE

pass

class class-default

drop log

policy-map type inspect PMAP_FW_OUTSIDE_TO_SELF

class type inspect CMAP_FW_INSPECT_OUTSIDE_TO_SELF

inspect

class type inspect CMAP_FW_PASS_OUTSIDE_TO_SELF

pass

class class-default

drop log

zone security INSIDE

zone security OUTSIDE

zone-pair security ZPAIR_FW_INSIDE_TO_OUTSIDE source INSIDE destination OUTSIDE

service-policy type inspect PMAP_FW_INSIDE_TO_OUTSIDE

zone-pair security ZPAIR_FW_SELF_TO_OUTSIDE source self destination OUTSIDE

service-policy type inspect PMAP_FW_SELF_TO_OUTSIDE

zone-pair security ZPAIR_FW_OUTSIDE_TO_SELF source OUTSIDE destination self

service-policy type inspect PMAP_FW_OUTSIDE_TO_SELF

interface GigabitEthernet0/1

description LAN

ip address 10.1.1.254 255.255.255.0

ip nat inside

ip virtual-reassembly in

zone-member security INSIDE

duplex auto

speed auto

end

interface GigabitEthernet0/0

description INTERNET

ip vrf forwarding PUBLIC

ip address 64.100.0.1 255.255.255.0

ip nat outside

ip virtual-reassembly in

zone-member security OUTSIDE

duplex auto

speed auto

end

ip nat inside source route-map RMAP_NAT_POLICY interface GigabitEthernet0/0 overload

ip route 0.0.0.0 0.0.0.0 GigabitEthernet0/0 64.100.0.2 name DEFAULT

ip route vrf INET_PUBLIC 0.0.0.0 0.0.0.0 GigabitEthernet0/0 64.100.0.2 name DEFAULT

route-map RMAP_NAT_POLICY permit 10

description ROUTE-MAP FOR NAT

match ip address ACL_NAT

ROUTER#show access-list ACL_NAT

Extended IP access list ACL_NAT

10 permit ip 10.0.0.0 0.255.255.255 any (72 matches)

عند إرسال حركة المرور من خلال الموجه، تم تأكيد النتائج التالية:

عندما طبقت ال nat تشكيل مع ال ipnat في الداخل وiNAT في الخارج مخصص لواجهات الموجه، مع الجهاز في الداخل عبارة nat ل NAT حركي، لا تمر من ال LAN-SW 10.1.1.253 عنوان إلى 64.100.1.1 على محول WAN-SW.

حتى بعد إزالة مناطق ZBF من واجهات الموجه، لم تمر حركة المرور عبر الموجه، وبدأت في المرور بعد تم تغيير قاعدة NAT كما يلي:

ip nat source route-map RMAP_NAT_POLICY interface GigabitEthernet0/0 overload

interface GigabitEthernet0/1

description LAN

ip address 10.1.1.254 255.255.255.0

ip nat enable

ip virtual-reassembly in

duplex auto

speed auto

end

interface GigabitEthernet0/0

description INTERNET

ip vrf forwarding PUBLIC

ip address 64.100.0.1 255.255.255.0

ip nat enable

ip virtual-reassembly in

duplex auto

speed auto

بعد ذلك، قم بإعادة تطبيق مناطق ZBF في واجهات الموجه.

ip nat source route-map RMAP_NAT_POLICY interface GigabitEthernet0/0 overload

interface GigabitEthernet0/1

description LAN

ip address 10.1.1.254 255.255.255.0

ip nat enable

ip virtual-reassembly in

zone-member security INSIDE

duplex auto

speed auto

end

interface GigabitEthernet0/0

description INTERNET

ip vrf forwarding PUBLIC

ip address 64.100.0.1 255.255.255.0

ip nat enable

ip virtual-reassembly in

zone-member security OUTSIDE

duplex auto

speed auto

بمجرد إعادة تطبيق مناطق ZBF في واجهات الموجه، أكدت أن ZBF بدأ في عرض رسائل syslog للإفلات الخاصة بالردود من المنطقة الخارجية إلى المنطقة الذاتية:

Jun 28 18:32:13.843: %FW-6-SESS_AUDIT_TRAIL_START: (target:class)-(ZPAIR_FW_INSIDE_TO_OUTSIDE:CMAP_FW_INSPECT_INSIDE_TO_OUTSIDE):Start tcp session: initiator (10.1.1.253:59393) -- responder (64.100.1.1:23)

Jun 28 18:32:13.843: %FW-6-DROP_PKT: Dropping tcp session 64.100.1.1:23 64.100.0.1:59393 on zone-pair ZPAIR_FW_OUTSIDE_TO_SELF class class-default due to  DROP action found in policy-map with ip ident 62332

ملاحظة: من رسائل السجل، يمكنك التأكيد في سجل AUDIT_TRAIL الأول عندما يتم بدء جلسة عمل برنامج Telnet ل TCP أولا من الداخل إلى المنطقة الخارجية، ولكن بعد ذلك عادت حركة مرور الإرجاع بشكل خاطئ إلى ZBF من الخارج إلى المنطقة الذاتية بسبب NAT NVI والطريقة التي تعالج بها حركة مرور البيانات عندما يكون ZBF في موضعه.

تم تأكيد ذلك، الطريقة الوحيدة لإجبار حركة المرور العائدة على المرور عبر ZBF هي تطبيق قاعدة إجراء تمرير للسماح بحركة المرور العائدة من المنطقة الخارجية إلى المنطقة الذاتية، وقد تم تطبيق هذه القاعدة على حركة مرور ICMP و TCP كأغراض إختبار ولكليهما تم التأكد من أنها عملت بشكل جيد وسمحت بحركة المرور العائدة كما هو مطلوب.

ملاحظة: لا يعتبر تطبيق قاعدة إجراءات المرور في زوج إجراءات المرور في المنطقة بين المنطقة الخارجية والمنطقة الذاتية حلا مستحسنا لهذه المشكلة، وذلك لأنه مطلوب بشدة لمعاينة حركة المرور العائدة والسماح بها تلقائيا بواسطة ZBF.

الحل

لا يدعم بروتوكول ZBF NAT NVI، والحل الوحيد لهذه المشكلة هو تطبيق أي من الحلول المذكورة في جدار حماية منطقة CSCsh12490 ولا يقوم NVI NAT بتشغيل الخطأ، هنا التفاصيل:

1. قم بإزالة بروتوكول ZBF وتطبيق جدار الحماية التقليدي (CBAC) بدلا من ذلك، وهو بالطبع ليس الخيار الأفضل، وهذا يرجع لأن CBAC هو حل جدار حماية نهاية الحياة بالفعل لموجهات IOS وهو غير مدعوم على موجهات IOS-XE.

أو

2. قم بإزالة تكوين NAT NVI من موجه IOS وطبق تكوين NAT الداخلي/الخارجي العادي بدلا من ذلك.

تلميح: هناك حل بديل آخر ممكن وهو الحفاظ على تكوين NAT NVI في الموجه وإزالة تكوين ZBF، ثم تطبيق سياسات الأمان المطلوبة في أي جهاز أمان آخر بقدرات أمان.

الأخطاء ذات الصلة

لا يتفاعل جدار حماية المنطقة CSCsh12490 و NVI NAT

تحسينات قابلية التشغيل البيني ل CSCek35625 NVI و FW

CSCvf17266 DOC: دليل تكوين ZBF يفتقد قيود متعلقة ب NAT NVI

معلومات ذات صلة

- الواجهة الظاهرية NAT

- دليل تكوين الأمان: جدار حماية السياسات القائم على المناطق، الإصدار 15M&T من Cisco IOS

- مثال تكوين تطبيق جدار الحماية الظاهري Cisco IOS Firewall التقليدي المستند إلى المنطقة