Δημοσίευση εσωτερικής υπηρεσίας μέσω VPN τοποθεσίας-σε-τοποθεσία ASA

Η δημοσίευση μιας υπηρεσίας που ζει πίσω από VPN τοποθεσίας-σε-τοποθεσία είναι μία εργασία με πέντε σημεία αποτυχίας, και αποτυγχάνουν με σταθερή σειρά. Η σήραγγα ανεβαίνει, η μετάφραση ταιριάζει, το υποκατάστημα απαντά και η απάντηση επιστρέφει από την ίδια διαδρομή. Όταν οποιοδήποτε από αυτά είναι λάθος, το πρόγραμμα περιήγησης δείχνει το ίδιο: μια σύνδεση που κολλάει ή επανέρχεται. Δουλέψτε τη λίστα από πάνω προς τα κάτω και σταματήστε στον πρώτο έλεγχο που αποτυγχάνει.

Έλεγχος 1: η σήραγγα προστατεύει τη διεύθυνση προέλευσης

Ξεκινήστε από μια σήραγγα που ήδη περνά κίνηση και μετά επιβεβαιώστε ότι η διεύθυνση που σκοπεύετε να δημοσιεύσετε βρίσκεται μέσα στο προστατευμένο εύρος. Σε ένα ASA αυτό το εύρος προέρχεται από το κρυπτογραφικό ACL ή από τις διαδρομές ενός VTI, και πρέπει να καλύπτει την πραγματική διεύθυνση της προέλευσης και όχι το υποδίκτυο που χρησιμοποιεί το υποκατάστημα για διαχείριση. Ένας επιλογέας που χάνει την προέλευση σας δίνει σήραγγα που είναι πάνω και ροή που δεν μπαίνει ποτέ σε αυτήν.

Επιβεβαιώστε το με τους μετρητές της σήραγγας και τον πίνακα δρομολόγησης πριν αγγίξετε τη μετάφραση. Αν η προέλευση δεν είναι προσβάσιμη από τον κόμβο μέσω της σήραγγας, τίποτα αργότερα σε αυτή τη λίστα δεν μπορεί να το διορθώσει.

Σταματήστε εδώ αν το προστατευμένο εύρος και η διεύθυνση προέλευσης δεν συμφωνούν.

Έλεγχος 2: αποφασίστε ποια πηγή θα δει το υποκατάστημα

Το υποκατάστημα βλέπει είτε την αρχική διεύθυνση του πελάτη είτε μια μεταφρασμένη, και αυτή η επιλογή καθορίζει τη διαδρομή επιστροφής. Η διατήρηση της διεύθυνσης πελάτη διαβάζεται καθαρότερα στα αρχεία καταγραφής της προέλευσης, αλλά τότε το υποκατάστημα πρέπει να στέλνει τις απαντήσεις για δημόσιους πελάτες πίσω μέσω της σήραγγας· μια συνηθισμένη προεπιλεγμένη διαδρομή διαδικτύου τις στέλνει από την άλλη μεριά και η σύνδεση πεθαίνει προς μία κατεύθυνση. Η μετάφραση της πηγής σε μια διεύθυνση που το υποκατάστημα δρομολογεί ήδη μέσω της σήραγγας αφαιρεί αυτή την απαίτηση.

Η μετάφραση αλλάζει επίσης τι μπορεί να καταγράψει η προέλευση και με τι μπορούν να ταιριάξουν κανόνες βασισμένοι στην πηγή. Αν η εφαρμογή χρειάζεται να γνωρίζει τον άνθρωπο πίσω από ένα αίτημα, αυτό ανήκει σε πιστοποιημένο αντίστροφο διακομιστή μεσολάβησης, όχι σε απόφαση NAT.

Έλεγχος 3: γράψτε τη μετάφραση με βάση τις πραγματικές διεπαφές

Ένα ASA αξιολογεί τους κανόνες μετάφρασης με σειρά και αναφέρει ποιος ταίριαξε, οπότε το ζεύγος διεπαφών μέσα στον κανόνα δεν είναι διακοσμητικό. Ένας κανόνας γραμμένος για διαδρομή από έξω προς τα μέσα δεν θα ταιριάξει με ροή της οποίας η είσοδος και η έξοδος διαφέρουν από αυτές που υποθέσατε.

Η διαδρομή που χτίζετε έχει τέσσερα σκέλη, και τα τέσσερα πρέπει να συμφωνούν:

Θεωρήστε τα εύρη σε εκείνον τον πίνακα ως σύμβολα κράτησης θέσης. Το σημαντικό είναι η πλειάδα μετά τη μετάφραση να είναι μια διεύθυνση που το υποκατάστημα δέχεται μέσω της σήραγγας, και η αντίστροφη αντιστοίχιση να υπάρχει στην κατάσταση NAT ώστε η απάντηση να αποκαθίσταται στην έξοδο.

Έλεγχος 4: περιορίστε τον κανόνα πρόσβασης στη δημοσιευμένη θύρα

Δημοσιεύστε τη θύρα, όχι τον κεντρικό υπολογιστή. Ένας κανόνας που επιτρέπει την προέλευση σε κάθε υπηρεσία μετατρέπει μία δημοσιευμένη εφαρμογή σε διαδρομή προς ό,τι τρέχει η προέλευση, συμπεριλαμβανομένης της διεπαφής διαχείρισης που κρατήσατε εκτός διαδικτύου επίτηδες. Επιτρέψτε τη δημοσιευμένη θύρα από τη μεταφρασμένη πηγή προς την προέλευση και αφήστε τις διαχειριστικές υπηρεσίες στη διαδρομή τους μόνο μέσω VPN.

Ελέγξτε τη σειρά των κανόνων ταυτόχρονα. Μια ευρεία άδεια πάνω από τον ειδικό σας κανόνα κάνει τον ειδικό κανόνα αόρατο.

Έλεγχος 5: ιχνηλατήστε ένα αίτημα και την απάντησή του

Μην ξεκινάτε με πρόγραμμα περιήγησης, γιατί το πρόγραμμα περιήγησης κρύβει ποιο σκέλος απέτυχε. Ιχνηλατήστε τη ροή στον κόμβο και διαβάστε το αποτέλεσμα πριν αλλάξετε οτιδήποτε.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Η ιχνηλάτηση ονομάζει τη μετάφραση που ταίριαξε, τον κανόνα πρόσβασης που επέτρεψε ή αρνήθηκε τη ροή και αν το πακέτο δρομολογήθηκε στη σήραγγα. Αν δείχνει τη ροή να φεύγει από διεπαφή που δεν περιμένατε, το ζεύγος διεπαφών στον κανόνα NAT είναι λάθος. Αν δείχνει άρνηση, η σειρά των κανόνων είναι λάθος. Αν φτάνει στη σήραγγα αλλά η προέλευση δεν απαντά ποτέ, το πρόβλημα είναι η διαδρομή επιστροφής του υποκαταστήματος.

Στη συνέχεια στείλτε ένα πραγματικό αίτημα από έξω και επιβεβαιώστε ότι η απάντηση επιστρέφει από την ίδια σήραγγα. Καταγράψτε τη δημοσιευμένη εγγραφή, τη μετάφραση, το προστατευμένο ζεύγος διευθύνσεων και τη διαδρομή επιστροφής ως το αρχείο δημοσίευσης.