Как избавиться от асимметричной маршрутизации трафика
Часто при попытке настроить доступ в удаленные сети через роутер в локальной сети возникает асимметричная маршрутизация. Она делает прохождение пакетов между двумя локальными сетями невозможной. В этой статье описаны случаи возникновения асимметричной маршрутизации и способы от нее избавиться.
Асимметричная маршрутизация при наличии роутера в локальной сети
Допустим, в локальной сети NGFW есть роутер, устанавливающий связь с другими сетями. NGFW - шлюз по умолчанию для клиентов сети. Требуется настроить маршрутизацию на NGFW так, чтобы клиенты сети 10.80.1.0/24 получали доступ в удаленную сеть 192.168.10.0/24 и обратно через роутер.
Пример неправильной топологии сети:
Здесь:
Ideco NGFW - шлюз для локальной сети
10.80.1.0/24.10.80.1.2- роутер, который имеет доступ в удаленную сеть192.168.10.0/24.Красная стрелка - двусторонняя связь роутера с удаленным шлюзом (или тоже роутером), которая обеспечивает доступ к удаленной сети
192.168.10.0/24(туннель к шлюзу, расположенному в интернете, или маршрут до роутера в соседнюю сеть предприятия).Черные стрелки - трафик от хостов локальной сети
10.80.1.0/24до удаленной сети192.168.10.0/24- через шлюз NGFW (10.80.1.1) и роутер (10.80.1.2).Пунктирная стрелка - участок трафика, который роутер возвращает хостам локальной сети, минуя NGFW, что приводит к непринятию такого трафика хостами локальной сети.
Часть трафика от клиентов до роутера идет через шлюз, а часть - непосредственно от роутера абонентам сети. Разная маршрутизация на разных участках делает прохождение пакетов между двумя локальными сетями невозможной.
Асимметричная маршрутизация при публикации сайтов через DNAT
Аналогичная ситуация складывается, когда в одной локальной сети находится хост и сервер, на котором работает ресурс, опубликованный в интернете при помощи DNAT-правила:
188.114.8.8- адрес сайта в интернете;10.80.1.1- адрес Ideco NGFW в локальной сети;10.80.1.2- адрес сервера в локальной сети;10.80.1.5- адрес хоста в локальной сети;Красная стрелка - ответ напрямую от сервера хосту в локальной сети.
Когда хост 10.80.1.5 обращается на сайт по внешнему адресу 188.114.8.8 (например, в случае обращения по доменному имени, которое резолвится во внешний IP), трафик проходит через NGFW. На NGFW срабатывает правило DNAT и перенаправляет трафик на сервер 10.80.1.2. Однако сервер отвечает непосредственно хосту в обход NGFW, и ответ не проходит.
Пример правильной топологии
Чтобы схема работала правильно, нужно:
1. Вынести роутер в отдельную локальную сеть (DMZ) (например, 10.90.1.0/24), чтобы избежать асимметричной маршрутизации между роутером и клиентами локальной сети.
2. Настроить DMZ на NGFW, добавив еще один IP-адрес на локальный интерфейс NGFW 10.90.1.1/24, к локальной сети которого подключен роутер.
3. На роутере настроить IP-адрес из адресного пространства новой сети 10.90.1.2. Шлюзом указать дополнительный IP-адрес, настроенный на локальном интерфейсе NGFW из этой сети 10.90.1.1.
Физически роутер и клиенты локальной сети будут находиться в одном сегменте, имея при этом разную IP-адресацию и шлюзы. Как правило, схемы с виртуальной изоляцией сетей на основе одного физического интерфейса достаточно.
Также можно физически изолировать локальную сеть клиентов NGFW и роутер. Для этого:
Подключите к Ideco NGFW дополнительную сетевую карту.
Настройте на ней дополнительный локальный интерфейс и отдельную IP-адресацию в этой сети.
Укажите в качестве шлюза для роутера адрес, настроенный на дополнительном локальном интерфейсе.
Физически роутер будет находиться в сегменте дополнительной сетевой карты.
Чтобы избавиться от асимметричной маршрутизации между клиентами в локальной сети и сервером, нужно выделить в DMZ сервер:
Если по какой-то причине изолировать сервер в DMZ невозможно, создайте на NGFW специальное SNAT-правило.
Last updated
