In tsjinst fan binnen publisearje oer in ASA-site-nei-site-VPN

Fiif oardere kontrôles om in ynterne tsjinst bleat te stellen fia in ASA-site-nei-site-VPN: beskerme berik, boarnemodel, oersetting, poartomfang, antwurdpaad.

In tsjinst publisearje dy’t efter in site-nei-site-VPN libbet is ien taak mei fiif flaterpunten, en se falle yn in fêste folchoarder. De tunnel komt omheech, de oersetting past, de filiaal antwurdet, en it antwurd komt werom oer itselde paad. As ien fan dy ferkeard is, lit de browser itselde sjen: in ferbining dy’t hinget of weromset wurdt. Wurkje de list fan boppe nei ûnderen troch en stop by de earste kontrôle dy’t falt.

Kontrôle 1: de tunnel beskermet it oarsprongsadres

Begjin by in tunnel dy’t al ferkear trochlit, en befêstigje dan dat it adres dat jo fan plan binne te publisearjen binnen it beskerme berik leit. Op in ASA komt dat berik fan de krypto-ACL of fan de rûtes fan in VTI, en it moat it echte adres fan it oarsprong dekke, net it subnet dat de filiaal foar behear brûkt. In selektor dy’t it oarsprong mist, jout jo in tunnel dy’t omheech is en in stream dy’t der nea ynkomt.

Befêstigje dat mei de tunneltellers en de rûtetabel foardat jo de oersetting oanreitsje. As it oarsprong net fan de hub ôf oer de tunnel berikber is, kin neat letter yn dizze list it reparearje.

Stop hjir as it beskerme berik en it oarsprongsadres net oerienkomme.

Kontrôle 2: beslute hokker boarne de filiaal sjocht

De filiaal sjocht of it oarspronklike kliïntadres of in oersetten ien, en dy kar bepaalt it werompaad. It kliïntadres bewarje lêst skjinner yn de logs fan it oarsprong, mar dan moat de filiaal antwurden foar iepenbiere kliïnten werom stjoere troch de tunnel; in gewoane ynternet-standert stjoert se de oare kant út en de ferbining stjert yn ien rjochting. It oersetten fan de boarne nei in adres dat de filiaal al oer de tunnel rûtet, hellet dy eask fuort.

Oersetting feroaret ek wat it oarsprong logge kin en wêr’t boarneynstelde regels op passe kinne. As de applikaasje de minske efter in fersyk kenne moat, heart dat yn in autentisearre omkearde proxy, net yn in NAT-beslút.

Kontrôle 3: skriuw de oersetting tsjin de echte ynterfaces

In ASA beöardielet oersettingsregels yn folchoarder en meldt hokker ien past, dus it ynterfacepear yn ’e regel is net kosmetysk. In regel skreaun foar in paad fan bûten nei binnen sil net passe op in stream wêrfan’t de yngong en útgong ferskille fan wat jo oannommen hawwe.

It paad dat jo bouwe hat fjouwer skonken, en alle fjouwer moatte oerienkomme:

LegSourceDestination
Request from the internet198.51.100.25203.0.113.20:443
After destination translation198.51.100.2510.60.20.10:443
After source translation toward the tunnel10.10.250.1010.60.20.10:443
Branch reply10.60.20.1010.10.250.10
Restored reply to the client203.0.113.20198.51.100.25

Behannelje de berikten yn dy tabel as plakhâlders. Wat taak is, is dat de tuple nei oersetting in adres is dat de filiaal oer de tunnel akseptearret, en dat de omkearde mapping yn ’e NAT-tastân bestiet sadat it antwurd op ’e útgong werombrocht wurdt.

Kontrôle 4: behein de tagongsregel ta de publisearre poarte

Publisearje de poarte, net de host. In regel dy’t it oarsprong op elke tsjinst tastean, makket ien publisearre applikaasje ta in paad nei alles wat it oarsprong draait, ynklusyf de behearynterface dy’t jo mei opset bûten it ynternet holden hawwe. Stean de publisearre poarte ta fan ’e oersetten boarne nei it oarsprong, en lit bestjoerlike tsjinsten op harren allinnich-VPN-paad.

Kontrolearje tagelyk de regelfolchoarder. In brede tastean boppe jo spesifike regel makket de spesifike regel ûnsichtber.

Kontrôle 5: folgje ien fersyk en syn antwurd

Begjin net mei in browser, want in browser ferberget hokker skonk mislearre. Folgje de stream op de hub en lês it resultaat foardat jo eat feroarje.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

De folging neamt de oersetting dy’t paste, de tagongsregel dy’t de stream tastean of wegere, en oft it pakket yn de tunnel rûte waard. As it sjen lit dat de stream in ynterface ferlit dy’t jo net ferwachte, is it ynterfacepear yn ’e NAT-regel ferkeard. As it in wegering sjen lit, is de regelopfolchoarder ferkeard. As it de tunnel berikt mar it oarsprong antwurdet nea, is it werompaad fan ’e filiaal it probleem.

Stjoer dan ien echt fersyk fan bûten en befêstigje dat it antwurd weromkomt troch deselde tunnel. Registrearje de publisearre yngong, de oersetting, it beskerme adrespear en de weromrûte as it publikaasjerekord.

Relatearre artikelen