Belső szolgáltatás közzététele ASA site-to-site VPN-en át

Egy site-to-site VPN mögött élő szolgáltatás közzététele egyetlen feladat öt hiba ponttal, és ezek rögzített sorrendben hibáznak. Az alagút feljön, a fordítás illeszkedik, a fióktelep válaszol, és a válasz ugyanazon az úton jön vissza. Ha bármelyik hibás, a böngésző ugyanazt mutatja: egy kapcsolat, amely megakad vagy visszaáll. Dolgozza végig a listát fentről lefelé, és álljon meg az első ellenőrzésnél, amelyik elbukik.

1. ellenőrzés: az alagút védi a forrás címét

Olyan alagúttal kezdje, amely már visz forgalmat, majd erősítse meg, hogy a közzétenni kívánt cím a védett tartományon belül van. ASA-n ez a tartomány a kripto ACL-ből vagy egy VTI útvonalaiból származik, és a forrás valódi címét kell lefednie, nem azt az alhálózatot, amelyet a fióktelep az igazgatáshoz használ. A szelektor, amely elvéti a forrást, olyan alagutat ad, amely áll, és olyan folyamot, amely soha nem lép be oda.

Erősítse ezt meg az alagút számlálóival és az útvonaltáblával, mielőtt a fordításhoz nyúl. Ha a forrás a központból az alagúton át nem érhető el, ezen a listán semmi későbbi nem tudja megjavítani.

Álljon meg itt, ha a védett tartomány és a forrás címe nem egyezik.

2. ellenőrzés: döntse el, melyik forrást látja a fióktelep

A fióktelep vagy az eredeti kliens címet látja, vagy egy fordítottat, és ez a választás dönti el a visszaút. Az ügyfélcím megőrzése tisztábban olvasható a forrás naplóiban, de akkor a fióktelepnek a nyilvános ügyfelek válaszait az alagúton át kell visszaküldenie; egy közönséges internetes alapértelmezett útvonal a másik irányba küldi őket, és a kapcsolat egy irányban meghal. A forrás olyan címre fordítása, amelyet a fióktelep már az alagúton át irányít, megszünteti ezt a követelményt.

A fordítás azt is megváltoztatja, mit naplózhat a forrás, és mire illeszkedhetnek a forrásalapú szabályok. Ha az alkalmazásnak tudnia kell a kérés mögötti embert, az egy hitelesített fordított proxyba tartozik, nem egy NAT-döntésbe.

3. ellenőrzés: a fordítást a valódi interfészekhez írja

Az ASA sorrendben értékeli a fordítási szabályokat, és jelenti, melyik illeszkedett, ezért a szabályon belüli interfészpár nem kozmetikai. A kívülről befelé vezető útra írt szabály nem illeszkedik olyan folyamra, amelynek belépése és kilépése eltér a feltételezettektől.

Az út, amelyet épít, négy szakaszból áll, és mind a négynek egyeznie kell:

Tekintse a táblázat tartományait helyőrzőknek. Az a fontos, hogy a fordítás utáni tuple olyan cím legyen, amelyet a fióktelep az alagúton át elfogad, és hogy a fordított leképezés létezzen a NAT állapotában, hogy a válasz a kifelé vezető úton helyreálljon.

4. ellenőrzés: szűkítse a hozzáférési szabályt a közzétett portra

A portot tegye közzé, ne a gazdagépet. Az a szabály, amely a forrást minden szolgáltatáson engedi, egy közzétett alkalmazást mindennek az útjává tesz, amit a forrás futtat, beleértve azt az igazgatási interfészt, amelyet szándékosan az interneten kívül tartott. Engedje a közzétett portot a fordított forrástól a forrásig, és hagyja az adminisztratív szolgáltatásokat a csak-VPN útjukon.

Ugyanakkor ellenőrizze a szabályok sorrendjét. A konkrét szabálya felett ülő széles engedély láthatatlanná teszi a konkrét szabályt.

5. ellenőrzés: kövessen egy kérést és annak válaszát

Ne böngészővel kezdje, mert a böngésző elrejti, melyik szakasz hibázott. Kövesse a folyamot a központban, és olvassa el az eredményt, mielőtt bármit változtat.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

A nyomkövetés megnevezi az illeszkedett fordítást, a hozzáférési szabályt, amely engedte vagy elutasította a folyamot, és hogy a csomagot az alagútba irányították-e. Ha azt mutatja, hogy a folyam olyan interfészen lép ki, amelyre nem számított, a NAT-szabály interfészpárja hibás. Ha elutasítást mutat, a szabályok sorrendje hibás. Ha eléri az alagutat, de a forrás soha nem válaszol, a fióktelep visszaútja a probléma.

Ezután küldjön egy valódi kérést kívülről, és erősítse meg, hogy a válasz ugyanazon az alagúton jön vissza. Jegyezze fel a közzétett bejegyzést, a fordítást, a védett címpárt és a visszautat közzétételi rekordként.