Cyhoeddi gwasanaeth mewnol dros VPN safle-i-safle ASA

Mae cyhoeddi gwasanaeth sy’n byw y tu ôl i VPN safle-i-safle yn un dasg â phum pwynt methiant, ac maent yn methu mewn trefn sefydlog. Daw’r twnnel i fyny, mae’r cyfieithu’n cyfateb, mae’r gangen yn ateb, ac mae’r ateb yn dod yn ôl ar yr un llwybr. Pan fydd unrhyw un o’r rhain yn anghywir, mae’r porwr yn dangos yr un peth: cysylltiad sy’n hongian neu’n ailosod. Gweithiwch y rhestr o’r brig i’r gwaelod a stopiwch wrth y gwiriad cyntaf sy’n methu.

Gwiriad 1: mae’r twnnel yn gwarchod cyfeiriad y tarddiad

Dechreuwch o dwnnel sy’n barod yn pasio traffig, yna cadarnhewch fod y cyfeiriad rydych yn bwriadu ei gyhoeddi y tu mewn i’r amrediad gwarchodedig. Ar ASA daw’r amrediad hwnnw o’r ACL crypto neu o lwybrau VTI, ac mae’n rhaid iddo gynnwys gwir gyfeiriad y tarddiad yn hytrach na’r isrwyd y mae’r gangen yn ei defnyddio ar gyfer rheoli. Mae detholydd sy’n colli’r tarddiad yn rhoi twnnel sydd i fyny a llif na ddaw byth i mewn iddo.

Cadarnhewch hyn gyda chownteri’r twnnel a’r tabl llwybrau cyn i chi gyffwrdd â’r cyfieithu. Os nad yw’r tarddiad yn gyrraeddadwy o’r canolbwynt dros y twnnel, ni all unrhyw beth diweddarach yn y rhestr hon ei drwsio.

Stopiwch yma os nad yw’r amrediad gwarchodedig a chyfeiriad y tarddiad yn cytuno.

Gwiriad 2: penderfynwch ba ffynhonnell y bydd y gangen yn ei gweld

Mae’r gangen yn gweld naill ai cyfeiriad gwreiddiol y cleient neu un wedi’i chyfieithu, ac mae’r dewis hwnnw’n penderfynu’r llwybr dychwelyd. Mae cadw cyfeiriad y cleient yn darllen yn glanach yn nogfeydd y tarddiad, ond yna rhaid i’r gangen anfon atebion i gleientiaid cyhoeddus yn ôl drwy’r twnnel; mae llwybr diofyn rhyngrwyd cyffredin yn eu hanfon y ffordd arall ac mae’r cysylltiad yn marw i un cyfeiriad. Mae cyfieithu’r ffynhonnell i gyfeiriad y mae’r gangen eisoes yn ei lwybro dros y twnnel yn dileu’r gofyniad hwnnw.

Mae cyfieithu hefyd yn newid yr hyn y gall y tarddiad ei gofnodi a’r hyn y gall rheolau seiliedig ar ffynhonnell gyfateb iddo. Os oes angen i’r cymhwysiad wybod y person y tu ôl i gais, mae hynny’n perthyn i brocsi gwrthdro dilysedig, nid i benderfyniad NAT.

Gwiriad 3: ysgrifennwch y cyfieithu yn erbyn y rhyngwynebau go iawn

Mae ASA yn gwerthuso rheolau cyfieithu mewn trefn ac yn adrodd pa un a gyfatebodd, felly nid yw’r pâr rhyngwyneb o fewn y rheol yn gosmig. Ni fydd rheol a ysgrifennwyd ar gyfer llwybr o’r tu allan i’r tu mewn yn cyfateb i lif y mae ei fewnbwn a’i allbwn yn wahanol i’r rhai a dybiwyd gennych.

Mae gan y llwybr rydych yn ei adeiladu bedair coes, ac mae’n rhaid i bob un o’r pedair gytuno:

Triniwch yr amrediadau yn y tabl hwnnw fel deiliaid lle. Y peth sy’n bwysig yw bod y tuple ar ôl cyfieithu yn gyfeiriad y mae’r gangen yn ei dderbyn dros y twnnel, a bod y mapio gwrthdro yn bodoli yn nhrefn NAT fel bod yr ateb yn cael ei adfer ar y ffordd allan.

Gwiriad 4: cyfyngwch y rheol mynediad i’r porth cyhoeddedig

Cyhoeddwch y porth, nid y gwesteiwr. Mae rheol sy’n caniatáu’r tarddiad ar bob gwasanaeth yn troi un cymhwysiad cyhoeddedig yn llwybr i bopeth y mae’r tarddiad yn ei redeg, gan gynnwys y rhyngwyneb rheoli y gwnaethoch ei gadw oddi ar y rhyngrwyd yn fwriadol. Caniatâwch y porth cyhoeddedig o’r ffynhonnell gyfieithiedig i’r tarddiad, a gadewch wasanaethau gweinyddol ar eu llwybr VPN yn unig.

Gwiriwch drefn y rheolau ar yr un pryd. Mae caniatâd eang uwchben eich rheol benodol yn gwneud y rheol benodol yn anweledig.

Gwiriad 5: olrheiniwch un cais a’i ateb

Peidiwch â dechrau gyda phorwr, oherwydd mae porwr yn cuddio pa goes a fethodd. Olrheiniwch y llif ar y canolbwynt a darllenwch y canlyniad cyn i chi newid unrhyw beth.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Mae’r olrheiniad yn enwi’r cyfieithu a gyfatebodd, y rheol fynediad a ganiatôdd neu a wadodd y llif, ac a lwybrwyd y pecyn i’r twnnel. Os yw’n dangos y llif yn gadael rhyngwyneb nad oeddech yn ei ddisgwyl, mae’r pâr rhyngwyneb yn y rheol NAT yn anghywir. Os yw’n dangos gwadiad, mae trefn y rheolau yn anghywir. Os yw’n cyrraedd y twnnel ond nad yw’r tarddiad byth yn ateb, y llwybr dychwelyd y gangen yw’r broblem.

Yna anfonwch un cais go iawn o’r tu allan a chadarnhewch fod yr ateb yn dod yn ôl drwy’r un twnnel. Cofnodwch y cofnod cyhoeddedig, y cyfieithu, y pâr cyfeiriadau gwarchodedig a’r llwybr dychwelyd fel cofnod cyhoeddi.