Publicar un servei intern a través d’una VPN de lloc a lloc amb ASA

Publicar un servei que viu darrere d’una VPN de lloc a lloc és una sola tasca amb cinc punts de fallada, i fallen en un ordre fix. El túnel s’aixeca, la traducció coincideix, la sucursal respon i la resposta torna pel mateix camí. Quan qualsevol d’aquests és incorrecte, el navegador mostra el mateix: una connexió que penja o es reinicia. Recorreu la llista de dalt a baix i atureu-vos a la primera comprovació que falli.

Comprovació 1: el túnel protegeix l’adreça d’origen

Comenceu per un túnel que ja passi trànsit i després confirmeu que l’adreça que voleu publicar és dins del rang protegit. En un ASA aquest rang prové de l’ACL de criptografia o de les rutes d’un VTI, i ha de cobrir l’adreça real de l’origen, no la subxarxa que la sucursal fa servir per a la gestió. Un selector que no encerti l’origen us dona un túnel aixecat i un flux que no hi entra mai.

Confirmeu-ho amb els comptadors del túnel i la taula de rutes abans de tocar la traducció. Si l’origen no és abastable des del concentrador a través del túnel, res més endavant en aquesta llista no ho pot arreglar.

Atureu-vos aquí si el rang protegit i l’adreça d’origen no coincideixen.

Comprovació 2: decidiu quin origen veurà la sucursal

La sucursal veu o bé l’adreça original del client o bé una de traduïda, i aquesta tria decideix el camí de tornada. Conservar l’adreça del client es llegeix més net en els registres de l’origen, però llavors la sucursal ha d’enviar les respostes dels clients públics de tornada pel túnel; una ruta per defecte normal d’internet les envia per l’altre costat i la connexió mor en una direcció. Traduir l’origen a una adreça que la sucursal ja encamina pel túnel elimina aquest requisit.

La traducció també canvia què pot registrar l’origen i amb què poden coincidir les regles basades en origen. Si l’aplicació necessita saber la persona darrere d’una petició, això pertany a un proxy invers autenticat, no a una decisió de NAT.

Comprovació 3: escriviu la traducció contra les interfícies reals

Un ASA avalua les regles de traducció en ordre i informa quina ha coincidit, així que la parella d’interfícies dins de la regla no és cosmètica. Una regla escrita per a un camí de fora a dins no coincidirà amb un flux l’entrada i la sortida del qual difereixen de les que heu suposat.

El camí que construïu té quatre trams, i tots quatre han de coincidir:

Tracteu els rangs d’aquella taula com a marcadors de posició. L’important és que la tupla després de la traducció sigui una adreça que la sucursal accepta pel túnel, i que el mapatge invers existeixi a l’estat de NAT perquè la resposta es restauri a la sortida.

Comprovació 4: limiteu la regla d’accés al port publicat

Publiqueu el port, no l’amfitrió. Una regla que permet l’origen a tots els serveis converteix una aplicació publicada en un camí a tot el que executa l’origen, inclosa la interfície de gestió que vau mantenir fora d’internet a propòsit. Permeteu el port publicat des de l’origen traduït fins a l’origen i deixeu els serveis administratius al seu camí només per VPN.

Comproveu l’ordre de les regles alhora. Un permís ampli per sobre de la vostra regla específica fa que la regla específica sigui invisible.

Comprovació 5: resseguiu una petició i la seva resposta

No comenceu amb un navegador, perquè un navegador amaga quin tram ha fallat. Resseguiu el flux al concentrador i llegiu el resultat abans de canviar res.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

El rastre anomena la traducció que ha coincidit, la regla d’accés que ha permès o denegat el flux i si el paquet s’ha encaminat al túnel. Si mostra que el flux surt d’una interfície que no esperàveu, la parella d’interfícies de la regla de NAT és incorrecta. Si mostra una denegació, l’ordre de les regles és incorrecte. Si arriba al túnel però l’origen no respon mai, el problema és el camí de tornada de la sucursal.

Després envieu una petició real des de fora i confirmeu que la resposta torna pel mateix túnel. Registreu l’entrada publicada, la traducció, la parella d’adreces protegida i la ruta de tornada com a registre de publicació.