Ішкі қызметті ASA сайт-аралық VPN арқылы жариялау

Ішкі қызметті ASA сайт-аралық VPN арқылы ашуға арналған бес реттелген тексеру: қорғалған ауқым, бастау көзі моделі, трансляция, порт ауқымы, жауап жолы.

Сайт-аралық VPN-ның артында тұратын қызметті жариялау — бес сәтсіздік нүктесі бар бір тапсырма, және олар белгілі бір ретпен сәтсіздікке ұшырайды. Туннель көтеріледі, трансляция сәйкес келеді, филиал жауап береді және жауап сол жолмен қайтады. Олардың кез келгені қате болса, браузер бір нәрсені көрсетеді: ілініп қалған немесе қайта орнатылған қосылым. Тізімді жоғарыдан төменге қарай орындаңыз және сәтсіздікке ұшыраған бірінші тексеруде тоқтаңыз.

Тексеру 1: туннель бастау көзінің мекенжайын қорғайды

Трафикті өткізіп жатқан туннельден бастаңыз, содан кейін жарияламақ мекенжайдың қорғалған ауқымның ішінде екенін растаңыз. ASA-да бұл ауқым шифрлау ACL-інен немесе VTI маршруттарынан келеді және бастау көзінің нақты мекенжайын қамтуы керек, филиал басқару үшін пайдаланатын қосалқы желіні емес. Бастау көзін өткізіп жіберетін селектор сізге көтерілген туннель мен оған ешқашан кірмейтін ағынды береді.

Трансляцияға қол тигізбес бұрын туннель есептегіштерімен және маршрут кестесімен растаңыз. Егер бастау көзі хабтан туннель арқылы қолжетімсіз болса, осы тізімдегі кейінгі ешнәрсе оны түзетпейді.

Қорғалған ауқым мен бастау көзінің мекенжайы сәйкес келмесе, осында тоқтаңыз.

Тексеру 2: филиал қай бастау көзін көретінін шешіңіз

Филиал клиенттің бастапқы мекенжайын немесе трансляцияланған мекенжайды көреді, және бұл таңдау қайтару жолын анықтайды. Клиент мекенжайын сақтау бастау көзінің журналдарында тазарақ оқылады, бірақ сонда филиал жалпыға ортақ клиенттер үшін жауаптарды туннель арқылы қайтаруы керек; кәдімгі интернеттің әдепкі маршруты оларды қарама-қарсы жаққа жібереді және қосылым бір бағытта өледі. Бастау көзін филиал туннель арқылы маршруттайтын мекенжайға трансляциялау бұл талапты алып тастайды.

Трансляция сонымен қатар бастау көзінің нені журналға жаза алатынын және бастау көзіне негізделген ережелердің неге сәйкес келе алатынын өзгертеді. Егер қолданбаға сұраныстың артындағы адамды білу қажет болса, оның орны аутентификацияланған кері прокси, NAT шешімі емес.

Тексеру 3: трансляцияны нақты интерфейстерге қарай жазыңыз

ASA трансляция ережелерін ретімен бағалайды және қайсысы сәйкес келгенін хабарлайды, сондықтан ереженің ішіндегі интерфейс жұбы әшекей емес. Сырттан ішке жол үшін жазылған ереже кіруі мен шығуы сіз болжағаннан өзгеше ағынға сәйкес келмейді.

Сіз салып жатқан жолдың төрт бөлігі бар және төртеуі де сәйкесуі керек:

LegSourceDestination
Request from the internet198.51.100.25203.0.113.20:443
After destination translation198.51.100.2510.60.20.10:443
After source translation toward the tunnel10.10.250.1010.60.20.10:443
Branch reply10.60.20.1010.10.250.10
Restored reply to the client203.0.113.20198.51.100.25

Сол кестедегі ауқымдарды орнын толтырғыш ретінде қарастырыңыз. Маңыздысы — трансляциядан кейінгі кортеж филиал туннель арқылы қабылдайтын мекенжай болуы, және NAT күйінде кері салыстыру болуы, сонда жауап шығу кезінде қалпына келеді.

Тексеру 4: қатынау ережесін жарияланған портпен шектеңіз

Портты жариялаңыз, хостты емес. Бастау көзіне әр қызметте рұқсат беретін ереже бір жарияланған қолданбаны бастау көзі іске қосатын барлық нәрсеге жолға айналдырады, соның ішінде әдейі интернеттен тыс ұстаған басқару интерфейсіне де. Трансляцияланған бастау көзінен бастау көзіне жарияланған портқа рұқсат беріңіз және әкімшілік қызметтерді өздерінің тек-VPN жолында қалдырыңыз.

Сонымен бірге ережелердің ретін тексеріңіз. Нақты ережеңіздің үстінде тұрған кең рұқсат нақты ережені көрінбес етеді.

Тексеру 5: бір сұраныс пен оның жауабын қадағалаңыз

Браузерден бастамаңыз, өйткені браузер қай бөліктің сәтсіз болғанын жасырады. Хабта ағынды қадағалап, бірдеңені өзгертпес бұрын нәтижені оқыңыз.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Із сәйкес келген трансляцияны, ағынға рұқсат берген немесе одан бас тартқан қатынау ережесін және пакеттің туннельге бағытталғанын атайды. Егер ағын күтпеген интерфейстен шығып жатқанын көрсетсе, NAT ережесіндегі интерфейс жұбы қате. Егер бас тартуды көрсетсе, ережелердің реті қате. Егер ол туннельге жетіп, бірақ бастау көзі ешқашан жауап бермесе, мәселе филиалдың қайтару жолында.

Содан кейін сырттан бір нақты сұраныс жіберіп, жауаптың сол туннельмен қайтатынын растаңыз. Жарияланған жазбаны, трансляцияны, қорғалған мекенжай жұбын және қайтару маршрутын жариялау жазбасы ретінде тіркеңіз.

Қатысты мақалалар