Sisäisen palvelun julkaisu ASA-toimipaikkojen välisen VPN:n kautta

Toimipaikkojen välisen VPN:n takana elävän palvelun julkaiseminen on yksi tehtävä, jossa on viisi epäonnistumispistettä, ja ne epäonnistuvat kiinteässä järjestyksessä. Tunneli nousee, käännös osuu, toimipiste vastaa ja vastaus palaa samaa polkua. Kun mikä tahansa niistä on väärin, selain näyttää saman: yhteyden, joka roikkuu tai nollautuu. Käy lista ylhäältä alas läpi ja pysähdy ensimmäiseen tarkistukseen, joka epäonnistuu.

Tarkistus 1: tunneli suojaa lähdeosoitteen

Aloita tunnelista, joka jo välittää liikennettä, ja vahvista sitten, että julkaistavaksi aiottu osoite on suojatulla alueella. ASAssa tämä alue tulee salaus-ACL:stä tai VTI:n reiteistä, ja sen on katettava lähteen todellinen osoite, ei aliverkkoa, jota toimipiste käyttää hallintaan. Valitsin, joka ohittaa lähteen, antaa sinulle tunnelin, joka on pystyssä, ja virtauksen, joka ei koskaan mene siihen.

Vahvista se tunnelin laskureilla ja reititystaulukolla ennen kuin kosket käännökseen. Jos lähde ei ole keskuksesta tunnelin kautta tavoitettavissa, mikään myöhempi tässä listassa ei voi korjata sitä.

Pysähdy tähän, jos suojattu alue ja lähdeosoite eivät täsmää.

Tarkistus 2: päätä, minkä lähteen toimipiste näkee

Toimipiste näkee joko asiakkaan alkuperäisen osoitteen tai käännetyn, ja tämä valinta ratkaisee paluupolun. Asiakkaan osoitteen säilyttäminen lukee siistimmin lähteen lokeissa, mutta silloin toimipisteen on lähetettävä julkisten asiakkaiden vastaukset takaisin tunnelin kautta; tavallinen internetin oletusreitti lähettää ne toiseen suuntaan ja yhteys kuolee yhteen suuntaan. Lähteen kääntäminen osoitteeksi, jonka toimipiste jo reitittää tunnelin kautta, poistaa tämän vaatimuksen.

Käännös muuttaa myös sitä, mitä lähde voi lokittaa ja mihin lähdeperusteiset säännöt voivat osua. Jos sovellus tarvitsee tietää pyynnön takana olevan ihmisen, se kuuluu todennettuun käänteiseen välityspalvelimeen, ei NAT-päätökseen.

Tarkistus 3: kirjoita käännös todellisten liitäntöjen mukaan

ASA arvioi käännössäännöt järjestyksessä ja raportoi, mikä osui, joten säännön sisäinen liitäntäpari ei ole kosmeettinen. Ulkoa sisään -polulle kirjoitettu sääntö ei osu virtaukseen, jonka tulo ja lähtö poikkeavat oletetuista.

Rakentamassasi polussa on neljä osuutta, ja kaikkien neljän on täsmättävä:

Kohtele taulukon alueita paikkamerkkeinä. Ratkaisevaa on, että käännöksen jälkeinen monikko on osoite, jonka toimipiste hyväksyy tunnelin kautta, ja että käänteinen kuvaus on olemassa NAT-tilassa, jotta vastaus palautetaan ulospäin.

Tarkistus 4: rajaa käyttösääntö julkaistuun porttiin

Julkaise portti, älä isäntä. Sääntö, joka sallii lähteen joka palvelussa, muuttaa yhden julkaistun sovelluksen poluksi kaikkeen, mitä lähde ajaa, mukaan lukien hallintaliittymä, jonka pidit tarkoituksella poissa internetistä. Salli julkaistu portti käännetyltä lähteeltä lähteelle ja jätä hallintapalvelut niiden vain-VPN-polulle.

Tarkista sääntöjärjestys samaan aikaan. Laaja lupa erityissääntösi yläpuolella tekee erityissäännöstä näkymättömän.

Tarkistus 5: jäljitä yksi pyyntö ja sen vastaus

Älä aloita selaimesta, koska selain piilottaa, mikä osuus epäonnistui. Jäljitä virtaus keskuksessa ja lue tulos ennen kuin muutat mitään.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Jäljitys nimeää käännöksen, joka osui, käyttösäännön, joka salli tai hylkäsi virtauksen, ja sen, ohjattiinko paketti tunneliin. Jos se näyttää virtauksen lähtevän liitännästä, jota et odottanut, NAT-säännön liitäntäpari on väärä. Jos se näyttää hylkäyksen, sääntöjärjestys on väärä. Jos se saavuttaa tunnelin mutta lähde ei koskaan vastaa, ongelma on toimipisteen paluupolku.

Lähetä sitten yksi todellinen pyyntö ulkopuolelta ja vahvista, että vastaus palaa saman tunnelin kautta. Kirjaa julkaistu merkintä, käännös, suojattu osoitepari ja paluureitti julkaisutietueeksi.