Daxili xidməti ASA saytlararası VPN üzərindən yayımlamaq

Saytlararası VPN-in arxasında yerləşən xidməti yayımlamaq beş uğursuzluq nöqtəsi olan bir vəzifədir və onlar sabit sıra ilə uğursuz olur. Tunel qalxır, tərcümə uyğun gəlir, filial cavab verir və cavab eyni yolla geri qayıdır. Bunlardan hər hansı biri səhv olduqda brauzer eyni şeyi göstərir: asılı qalan və ya sıfırlanan bağlantı. Siyahını yuxarıdan aşağıya işləyin və uğursuz olan ilk yoxlamada dayanın.

Yoxlama 1: tunel mənbə ünvanını qoruyur

Artıq trafik keçirən tuneldən başlayın, sonra yayımlamağı planlaşdırdığınız ünvanın qorunan diapazonun içində olduğunu təsdiqləyin. ASA-da bu diapazon kripto ACL-dən və ya VTI marşrutlarından gəlir və filialın idarəetmə üçün istifadə etdiyi alt şəbəkəni deyil, mənbənin real ünvanını əhatə etməlidir. Mənbəni qaçıran seçici sizə qalxmış tunel və ora heç vaxt daxil olmayan axın verir.

Tərcüməyə toxunmazdan əvvəl tunel sayğacları və marşrut cədvəli ilə təsdiqləyin. Mənbə hub-dan tunel üzərindən əlçatan deyilsə, bu siyahıda sonrakı heç nə onu düzəldə bilməz.

Qorunan diapazon və mənbə ünvanı uyğun gəlmirsə, burada dayanın.

Yoxlama 2: filialın hansı mənbəni görəcəyinə qərar verin

Filial ya orijinal müştəri ünvanını, ya da tərcümə edilmiş ünvanı görür və bu seçim geri dönüş yolunu müəyyən edir. Müştəri ünvanını saxlamaq mənbənin jurnallarında daha təmiz görünür, amma onda filial ictimai müştərilər üçün cavabları tunel üzərindən geri göndərməlidir; adi internet defoltu onları başqa istiqamətə göndərir və bağlantı bir istiqamətdə ölür. Mənbəni filialın artıq tunel üzərindən marşrutlaşdırdığı ünvana tərcümə etmək bu tələbi aradan qaldırır.

Tərcümə həm də mənbənin nə jurnala yaza biləcəyini və mənbə əsaslı qaydaların nə ilə uyğunlaşa biləcəyini dəyişir. Tətbiq sorğunun arxasındakı şəxsi bilməlidirsə, bunun yeri autentifikasiyalı tərs proksidir, NAT qərarı deyil.

Yoxlama 3: tərcüməni real interfeyslərə görə yazın

ASA tərcümə qaydalarını sıra ilə qiymətləndirir və hansının uyğun gəldiyini bildirir, ona görə qaydanın içindəki interfeys cütü kosmetik deyil. Xaricdən içəri yol üçün yazılmış qayda, girişi və çıxışı fərz etdiklərinizdən fərqlənən axına uyğun gəlməyəcək.

Qurduğunuz yolun dörd ayağı var və dördü də uyğun olmalıdır:

Həmin cədvəldəki diapazonları yer tutucu kimi qəbul edin. Əhəmiyyətli olan budur ki, tərcümədən sonrakı kortej filialın tunel üzərindən qəbul etdiyi ünvandır və əks xəritələmə NAT vəziyyətində mövcuddur ki, cavab çıxışda bərpa olunsun.

Yoxlama 4: giriş qaydasını yayımlanan porta görə məhdudlaşdırın

Portu yayımla, hostu yox. Mənbəyə hər xidmətdə icazə verən qayda bir yayımlanmış tətbiqi mənbənin işlətdiyi hər şeyə yol edir, o cümlədən bilərəkdən internetdən kənarda saxladığınız idarəetmə interfeysinə. Yayımlanan porta tərcümə edilmiş mənbədən mənbəyə icazə verin və inzibati xidmətləri yalnız-VPN yolunda buraxın.

Qayda sırasını eyni zamanda yoxlayın. Xüsusi qaydanızın üstündə duran geniş icazə xüsusi qaydayı görünməz edir.

Yoxlama 5: bir sorğunu və cavabını izləyin

Brauzerlə başlamayın, çünki brauzer hansı ayağın uğursuz olduğunu gizlədir. Axını hub-da izləyin və nəyisə dəyişməzdən əvvəl nəticəni oxuyun.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

İz uyğun gələn tərcüməni, axına icazə verən və ya onu rədd edən giriş qaydasını və paketin tunelə yönləndirilib-yönləndirilmədiyini göstərir. Axın gözləmədiyiniz interfeysdən çıxırsa, NAT qaydasındakı interfeys cütü səhvdir. Rədd göstərirsə, qayda sırası səhvdir. Tunelə çatır, amma mənbə heç cavab vermirsə, problem filialın geri dönüş yoludur.

Sonra xaricdən bir real sorğu göndərin və cavabın eyni tuneldən geri qayıtdığını təsdiqləyin. Yayımlanan girişi, tərcüməni, qorunan ünvan cütünü və geri dönüş marşrutunu nəşr qeydi kimi yazın.