Identity NAT cho RAVPN – Vì sao bắt buộc phải có?

[dangquangminh]

Identity NAT cho RAVPN – Vì sao bắt buộc phải có?


Trong triển khai Remote Access VPN (RAVPN) trên Cisco Secure Firewall Threat Defense, một trong những lỗi thường gặp là return traffic từ server về client bị NAT sai và dẫn đến rớt kết nối. Đây là lý do tại sao chúng ta cần cấu hình Identity NAT.

Hãy tưởng tượng tình huống sau:

• Client AnyConnect kết nối VPN từ Internet vào firewall.
• Bên trong mạng, client truy cập dịch vụ trên server có IP private (ví dụ: Lamp server trong DMZ).
• Gói tin đi từ client (172.16.8.x) đến server (10.10.10.10) được định tuyến bình thường.

Vấn đề xảy ra ở chiều ngược:

• Server gửi gói tin phản hồi về client, đích là 172.16.8.x.
• Gói tin này đi qua firewall – nơi đã cấu hình nhiều NAT rule.
• Nếu firewall áp dụng một Auto NAT rule mặc định (ví dụ: dịch từ DMZ ra ngoài Internet), return traffic sẽ bị NAT thành IP khác thay vì giữ nguyên IP client VPN.
• Khi đó, client VPN sẽ không tìm thấy kết nối tương ứng trong bảng session → gói tin bị drop.

---

Giải pháp: Identity NAT


Để đảm bảo luồng traffic hoạt động đúng, chúng ta cần một rule Identity NAT (NAT translate-to-self) cho các server trong DMZ trả lời client VPN.

• Rule này chỉ định rằng: traffic từ DMZ_Servers đến subnet của VPN client (VPN_172.16.8.0/24) sẽ không bị NAT.
• Firewall sẽ giữ nguyên địa chỉ nguồn và đích → return traffic match đúng session ban đầu.
• Quan trọng: Rule Identity NAT phải được đặt trên Auto NAT rule để firewall ưu tiên áp dụng trước.

---

Ví dụ thực tế


Giả sử ta có:

• DMZ Servers object: 10.10.10.0/24
• VPN client pool: 172.16.8.0/24
• Zone: DMZONE → OUTZONE

Rule Identity NAT:
nat (DMZONE,OUTZONE) source static DMZ_Servers DMZ_Servers destination static VPN_172.16.8.0 VPN_172.16.8.0
Rule này đảm bảo traffic giữa DMZ servers và VPN clients không bị NAT (dịch thành chính nó).

---

Kết luận

• Nếu không có Identity NAT, return traffic từ server có thể match vào Auto NAT rule (dịch ra Internet) → VPN client rớt kết nối.
• Với Identity NAT, firewall giữ nguyên địa chỉ, đảm bảo session VPN hoạt động trơn tru.
• Đây là một best practice bắt buộc trong mọi triển khai RAVPN có server nội bộ phục vụ VPN clients.