Barne zerbitzu bat argitaratzea ASA gunez guneko VPN baten bidez
Barne zerbitzu bat ASA gunez guneko VPN baten bidez erakusteko bost egiaztapen ordenatu: babestutako barrutia, iturburu-eredua, itzulpena, atakaren irismena, erantzun-bidea.
Gunez guneko VPN baten atzean bizi den zerbitzu bat argitaratzea huts egiteko bost puntu dituen zeregin bakarra da, eta ordena finkoan huts egiten dute. Tunela altxatzen da, itzulpena bat dator, adarrak erantzuten du, eta erantzuna bide beretik itzultzen da. Horietako edozein oker badago, nabigatzaileak gauza bera erakusten du: zintzilik geratzen edo berrezartzen den konexioa. Zerrenda goitik behera landu eta huts egiten duen lehen egiaztapenean gelditu.
1. egiaztapena: tunelak jatorrizko helbidea babesten du
Hasi jada trafikoa pasatzen duen tunel batetik, eta gero berretsi argitaratzeko asmo duzun helbidea babestutako barrutiaren barruan dagoela. ASA batean barruti hori kripto ACLetik edo VTI baten ibilbideetatik dator, eta jatorrizko benetako helbidea estali behar du, ez adarrak kudeaketarako erabiltzen duen azpisarea. Jatorria harrapatzen ez duen hautatzaile batek tunela zutik eta inoiz sartzen ez den fluxua ematen dizkizu.
Berretsi tunelaren kontagailuekin eta ibilbide-taularekin itzulpena ukitu aurretik. Jatorria zentrotik tunelaren bidez iristezina bada, zerrenda honetako ezerk ezin du konpondu.
Gelditu hemen babestutako barrutiak eta jatorrizko helbideak bat ez badatoz.
2. egiaztapena: erabaki zein iturburu ikusiko duen adarrak
Adarrak bezeroaren jatorrizko helbidea edo itzulia ikusten du, eta aukera horrek erabakitzen du itzulerako bidea. Bezeroaren helbidea mantentzeak garbiago irakurtzen da jatorrizko erregistroetan, baina orduan adarrak bezero publikoen erantzunak tunelaren bidez bidali behar ditu; ohiko interneteko bide lehenetsiak beste aldera bidaltzen ditu eta konexioa norabide batean hiltzen da. Iturburua adarrak jada tunelaren bidez bideratzen duen helbidera itzultzeak baldintza hori kentzen du.
Itzulpenak jatorrizkoak zer erregistratu dezakeen eta iturburuan oinarritutako arauek zerekin bat egin dezaketen ere aldatzen du. Aplikazioak eskaera baten atzean dagoen pertsona jakin behar badu, hori autentifikatutako alderantzizko proxian dagokio, ez NAT erabaki batean.
3. egiaztapena: idatzi itzulpena benetako interfazeen arabera
ASA batek itzulpen-arauak ordenan ebaluatzen ditu eta zein bat etorri den jakinarazten du, beraz arauaren barruko interfaze-parea ez da kosmetikoa. Kanpotik barrurako bide baterako idatzitako arau bat ez dator bat suposatu dituzunen sarrera eta irteera ezberdinak dituen fluxu batekin.
Eraikitzen ari zaren bideak lau hanka ditu, eta lauek bat etorri behar dute:
| Leg | Source | Destination |
|---|---|---|
| Request from the internet | 198.51.100.25 | 203.0.113.20:443 |
| After destination translation | 198.51.100.25 | 10.60.20.10:443 |
| After source translation toward the tunnel | 10.10.250.10 | 10.60.20.10:443 |
| Branch reply | 10.60.20.10 | 10.10.250.10 |
| Restored reply to the client | 203.0.113.20 | 198.51.100.25 |
Hartu taula horretako barrutiak leku-markatzat. Garrantzitsua da itzulpenaren ondorengo tupla adarrak tunelaren bidez onartzen duen helbidea izatea, eta alderantzizko mapaketa NAT egoeran existitzea erantzuna irteeran berrezartzeko.
4. egiaztapena: mugatu sarbide-araua argitaratutako atakara
Argitaratu ataka, ez ostalaria. Jatorrizkoari zerbitzu guztietan baimena ematen dion arau batek argitaratutako aplikazio bat jatorrizkoak exekutatzen duen guztirako bide bihurtzen du, internetetik kanpo nahita eduki zenuen kudeaketa-interfazea barne. Baimendu argitaratutako ataka itzulitako iturburutik jatorrizkora, eta utzi administrazio-zerbitzuak beren VPN soilaren bidean.
Egiaztatu arauen ordena aldi berean. Zure arau zehatzaren gainean dagoen baimen zabal batek arau zehatza ikusezin egiten du.
5. egiaztapena: jarraitu eskaera bat eta bere erantzuna
Ez hasi nabigatzaile batekin, nabigatzaileak ezkutatzen baitu zein hankak huts egin duen. Jarraitu fluxua zentroan eta irakurri emaitza ezer aldatu aurretik.
packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2lArrastoak bat etorri den itzulpena, fluxua baimendu edo ukatu duen sarbide-araua eta paketea tunelera bideratu den aipatzen ditu. Fluxua ez zenukeen interfaze batetik irteten dela erakusten badu, NAT arauko interfaze-parea oker dago. Ukapena erakusten badu, arauen ordena oker dago. Tunelera iristen bada baina jatorrizkoak inoiz erantzuten ez badu, adarraren itzulerako bidea da arazoa.
Ondoren bidali benetako eskaera bat kanpotik eta berretsi erantzuna tunel beretik itzultzen dela. Erregistratu argitaratutako sarrera, itzulpena, babestutako helbide-parea eta itzulerako ibilbidea argitalpen-erregistro gisa.