Ներքին ծառայության հրապարակում ASA կայք-կայք VPN-ի միջոցով
Հինգ հաջորդական ստուգումներ ներքին ծառայությունը ASA կայք-կայք VPN-ի միջոցով բացելու համար՝ պաշտպանված տիրույթ, աղբյուրի մոդել, թարգմանություն, պորտի ծավալ, պատասխանի ուղի։
Կայք-կայք VPN-ի հետևում ապրող ծառայության հրապարակումը մեկ առաջադրանք է հինգ ձախողման կետերով, և դրանք ձախողվում են ֆիքսված հերթականությամբ։ Թունելը բարձրանում է, թարգմանությունը համընկնում է, մասնաճյուղը պատասխանում է, և պատասխանը վերադառնում է նույն ուղիով։ Երբ դրանցից որևէ մեկը սխալ է, դիտարկիչը ցույց է տալիս նույնը՝ կախված կամ վերակայվող կապ։ Անցեք ցանկը վերևից ներքև և կանգ առեք առաջին ստուգման վրա, որը ձախողվում է։
Ստուգում 1. թունելը պաշտպանում է սկզբնաղբյուրի հասցեն
Սկսեք թունելից, որն արդեն տրաֆիկ է անցկացնում, ապա հաստատեք, որ հրապարակելու պլանավորած հասցեն գտնվում է պաշտպանված տիրույթի ներսում։ ASA-ում այդ տիրույթը գալիս է ծածկագրման ACL-ից կամ VTI-ի երթուղիներից, և այն պետք է ծածկի սկզբնաղբյուրի իրական հասցեն, ոչ թե ենթացանցը, որ մասնաճյուղն օգտագործում է կառավարման համար։ Սկզբնաղբյուրը բաց թողնող ընտրիչը ձեզ տալիս է կանգնած թունել և հոսք, որը երբեք չի մտնում դրա մեջ։
Հաստատեք դա թունելի հաշվիչներով և երթուղիների աղյուսակով, նախքան թարգմանությանը դիպչելը։ Եթե սկզբնաղբյուրը հաբից թունելով հասանելի չէ, այս ցանկում ոչ մի հետագա բան չի կարող ուղղել դա։
Կանգ առեք այստեղ, եթե պաշտպանված տիրույթը և սկզբնաղբյուրի հասցեն չեն համընկնում։
Ստուգում 2. որոշեք, թե որ աղբյուրը կտեսնի մասնաճյուղը
Մասնաճյուղը տեսնում է կա՛մ հաճախորդի սկզբնական հասցեն, կա՛մ թարգմանվածը, և այդ ընտրությունը որոշում է վերադարձի ուղին։ Հաճախորդի հասցեն պահելը ավելի մաքուր է ընթերցվում սկզբնաղբյուրի մատյաններում, բայց այդ դեպքում մասնաճյուղը պետք է հանրային հաճախորդների պատասխանները հետ ուղարկի թունելով՝ սովորական ինտերնետային լռելյայն երթուղին դրանք ուղարկում է հակառակ կողմ, և կապը մահանում է մեկ ուղղությամբ։ Աղբյուրը այնպիսի հասցեի թարգմանելը, որը մասնաճյուղն արդեն երթուղավորում է թունելով, վերացնում է այդ պահանջը։
Թարգմանությունը նաև փոխում է, թե ինչ կարող է սկզբնաղբյուրը գրանցել և ինչի հետ կարող են համընկնել աղբյուրի վրա հիմնված կանոնները։ Եթե հավելվածին պետք է իմանալ հարցման հետևում գտնվող մարդուն, դա տեղ ունի նույնականացված հակադարձ վստահված սերվերում, ոչ թե NAT-ի որոշման մեջ։
Ստուգում 3. գրեք թարգմանությունը իրական ինտերֆեյսների դիմաց
ASA-ն գնահատում է թարգմանության կանոնները հերթականությամբ և հաղորդում, թե որն է համընկել, ուստի կանոնի ներսի ինտերֆեյսների զույգը զարդարանք չէ։ Դրսից ներս ուղու համար գրված կանոնը չի համընկնի այնպիսի հոսքի հետ, որի մուտքն ու ելքը տարբերվում են ձեր ենթադրածներից։
Ուղին, որը դուք կառուցում եք, ունի չորս հատված, և բոլոր չորսը պետք է համաձայնեն՝
| Leg | Source | Destination |
|---|---|---|
| Request from the internet | 198.51.100.25 | 203.0.113.20:443 |
| After destination translation | 198.51.100.25 | 10.60.20.10:443 |
| After source translation toward the tunnel | 10.10.250.10 | 10.60.20.10:443 |
| Branch reply | 10.60.20.10 | 10.10.250.10 |
| Restored reply to the client | 203.0.113.20 | 198.51.100.25 |
Այդ աղյուսակի տիրույթները համարեք տեղապահներ։ Կարևորն այն է, որ թարգմանությունից հետո բազմաշարքը հասցե լինի, որը մասնաճյուղն ընդունում է թունելով, և որ հակադարձ քարտեզագրումը գոյություն ունենա NAT-ի վիճակում, որպեսզի պատասխանը վերականգնվի ելքի ճանապարհին։
Ստուգում 4. սահմանափակեք մուտքի կանոնը հրապարակված պորտով
Հրապարակեք պորտը, ոչ թե հոսթը։ Կանոնը, որը թույլ է տալիս սկզբնաղբյուրին բոլոր ծառայություններում, մեկ հրապարակված հավելվածը դարձնում է ուղի դեպի այն ամենը, ինչ սկզբնաղբյուրը գործարկում է, ներառյալ կառավարման ինտերֆեյսը, որը դուք միտումնավոր պահել եք ինտերնետից դուրս։ Թույլատրեք հրապարակված պորտը թարգմանված աղբյուրից դեպի սկզբնաղբյուր, և վարչական ծառայությունները թողեք իրենց միայն-VPN ուղու վրա։
Միաժամանակ ստուգեք կանոնների հերթականությունը։ Ձեր կոնկրետ կանոնից վեր նստած լայն թույլտվությունը կոնկրետ կանոնը դարձնում է անտեսանելի։
Ստուգում 5. հետևեք մեկ հարցման և նրա պատասխանին
Մի սկսեք դիտարկիչով, որովհետև դիտարկիչը թաքցնում է, թե որ հատվածն է ձախողվել։ Հետևեք հոսքին հաբում և կարդացեք արդյունքը, նախքան ինչ-որ բան փոխելը։
packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2lՀետագիծը նշում է համընկած թարգմանությունը, մուտքի կանոնը, որը թույլատրել կամ մերժել է հոսքը, և արդյոք փաթեթն ուղղորդվել է թունել։ Եթե այն ցույց է տալիս, որ հոսքը դուրս է գալիս ինտերֆեյսից, որը դուք չէիք սպասում, NAT-ի կանոնի ինտերֆեյսների զույգը սխալ է։ Եթե ցույց է տալիս մերժում, կանոնների հերթականությունը սխալ է։ Եթե այն հասնում է թունել, բայց սկզբնաղբյուրը երբեք չի պատասխանում, խնդիրը մասնաճյուղի վերադարձի ուղին է։
Ապա դրսից ուղարկեք մեկ իրական հարցում և հաստատեք, որ պատասխանը վերադառնում է նույն թունելով։ Գրանցեք հրապարակված գրառումը, թարգմանությունը, պաշտպանված հասցեների զույգը և վերադարձի երթուղին որպես հրապարակման արձանագրություն։