Menerbitkan layanan internal melalui VPN situs-ke-situs ASA

Menerbitkan layanan yang berada di belakang VPN situs-ke-situs adalah satu tugas dengan lima titik kegagalan, dan semuanya gagal dalam urutan tetap. Terowongan naik, terjemahan cocok, cabang menjawab, dan balasan kembali melalui jalur yang sama. Ketika salah satunya salah, peramban menunjukkan hal yang sama: koneksi yang menggantung atau direset. Kerjakan daftar dari atas ke bawah dan berhenti pada pemeriksaan pertama yang gagal.

Pemeriksaan 1: terowongan melindungi alamat asal

Mulailah dari terowongan yang sudah melewatkan lalu lintas, lalu pastikan alamat yang akan Anda terbitkan berada di dalam rentang terlindungi. Pada ASA rentang itu berasal dari ACL kripto atau dari rute VTI, dan harus mencakup alamat asli asal, bukan subnet yang dipakai cabang untuk manajemen. Selektor yang melewatkan asal memberi Anda terowongan yang naik dan aliran yang tidak pernah masuk ke dalamnya.

Pastikan dengan penghitung terowongan dan tabel rute sebelum Anda menyentuh terjemahan. Jika asal tidak terjangkau dari hub melalui terowongan, tidak ada yang lebih jauh dalam daftar ini dapat memperbaikinya.

Berhenti di sini jika rentang terlindungi dan alamat asal tidak sepakat.

Pemeriksaan 2: putuskan sumber mana yang akan dilihat cabang

Cabang melihat alamat klien asli atau alamat yang diterjemahkan, dan pilihan itu menentukan jalur balasan. Mempertahankan alamat klien terbaca lebih bersih di log asal, tetapi cabang lalu harus mengirim balasan bagi klien publik kembali melalui terowongan; rute default internet biasa mengirimnya ke arah lain dan koneksi mati dalam satu arah. Menerjemahkan sumber ke alamat yang sudah dirutekan cabang melalui terowongan menghapus syarat itu.

Terjemahan juga mengubah apa yang bisa dicatat asal dan apa yang bisa dicocokkan aturan berbasis sumber. Jika aplikasi perlu mengetahui orang di balik permintaan, itu tempatnya di proksi balik yang terautentikasi, bukan di keputusan NAT.

Pemeriksaan 3: tulis terjemahan terhadap antarmuka sebenarnya

ASA mengevaluasi aturan terjemahan secara berurutan dan melaporkan mana yang cocok, jadi pasangan antarmuka di dalam aturan bukan kosmetik. Aturan yang ditulis untuk jalur luar-ke-dalam tidak akan cocok dengan aliran yang masuk dan keluarnya berbeda dari yang Anda asumsikan.

Jalur yang Anda bangun punya empat bagian, dan keempatnya harus sepakat:

Anggap rentang di tabel itu sebagai placeholder. Yang penting adalah tuple setelah terjemahan adalah alamat yang diterima cabang melalui terowongan, dan pemetaan balik ada di status NAT sehingga balasan dipulihkan saat keluar.

Pemeriksaan 4: batasi aturan akses ke port yang diterbitkan

Terbitkan port, bukan host. Aturan yang mengizinkan asal pada setiap layanan mengubah satu aplikasi terbitan menjadi jalur ke semua yang dijalankan asal, termasuk antarmuka manajemen yang sengaja Anda jauhkan dari internet. Izinkan port terbitan dari sumber terjemahan ke asal, dan biarkan layanan administratif pada jalurnya yang hanya-VPN.

Periksa urutan aturan pada saat yang sama. Izin luas yang duduk di atas aturan spesifik Anda membuat aturan spesifik itu tidak terlihat.

Pemeriksaan 5: lacak satu permintaan dan balasannya

Jangan mulai dengan peramban, karena peramban menyembunyikan bagian mana yang gagal. Lacak aliran di hub dan baca hasilnya sebelum Anda mengubah apa pun.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Pelacakan menyebutkan terjemahan yang cocok, aturan akses yang mengizinkan atau menolak aliran, dan apakah paket dirutekan ke terowongan. Jika ia menunjukkan aliran keluar dari antarmuka yang tidak Anda duga, pasangan antarmuka di aturan NAT salah. Jika ia menunjukkan penolakan, urutan aturan salah. Jika ia mencapai terowongan tetapi asal tidak pernah menjawab, masalahnya jalur balasan cabang.

Lalu kirim satu permintaan sungguhan dari luar dan pastikan balasannya kembali melalui terowongan yang sama. Catat entri terbitan, terjemahan, pasangan alamat terlindungi dan rute balasan sebagai catatan penerbitan.