ASA ಸೈಟ್-ಟು-ಸೈಟ್ VPN ಮೂಲಕ ಆಂತರಿಕ ಸೇವೆಯನ್ನು ಪ್ರಕಟಿಸುವುದು

ಸೈಟ್-ಟು-ಸೈಟ್ VPN ಹಿಂದೆ ಇರುವ ಸೇವೆಯನ್ನು ಪ್ರಕಟಿಸುವುದು ಐದು ವಿಫಲತಾ ಬಿಂದುಗಳಿರುವ ಒಂದು ಕೆಲಸ, ಮತ್ತು ಅವು ನಿಗದಿತ ಕ್ರಮದಲ್ಲಿ ವಿಫಲವಾಗುತ್ತವೆ. ಟನೆಲ್ ಮೇಲೆ ಬರುತ್ತದೆ, ಅನುವಾದ ಹೊಂದುತ್ತದೆ, ಶಾಖೆ ಉತ್ತರಿಸುತ್ತದೆ, ಮತ್ತು ಪ್ರತಿಕ್ರಿಯೆ ಅದೇ ಮಾರ್ಗದಲ್ಲಿ ಹಿಂತಿರುಗುತ್ತದೆ. ಅವುಗಳಲ್ಲಿ ಯಾವುದಾದರೂ ತಪ್ಪಾದಾಗ ಬ್ರೌಸರ್ ಅದೇ ವಿಷಯವನ್ನು ತೋರಿಸುತ್ತದೆ: ನೇತಾಡುವ ಅಥವಾ ಮರುಹೊಂದಿಸಲ್ಪಡುವ ಸಂಪರ್ಕ. ಪಟ್ಟಿಯನ್ನು ಮೇಲಿನಿಂದ ಕೆಳಗೆ ನಡೆಸಿ ಮತ್ತು ವಿಫಲವಾಗುವ ಮೊದಲ ಪರಿಶೀಲನೆಯಲ್ಲಿ ನಿಲ್ಲಿಸಿ.

ಪರಿಶೀಲನೆ 1: ಟನೆಲ್ ಮೂಲ ವಿಳಾಸವನ್ನು ಸಂರಕ್ಷಿಸುತ್ತದೆ

ಈಗಾಗಲೇ ಸಂಚಾರವನ್ನು ರವಾನಿಸುತ್ತಿರುವ ಟನೆಲ್ನಿಂದ ಪ್ರಾರಂಭಿಸಿ, ನಂತರ ಪ್ರಕಟಿಸಲು ಯೋಜಿಸಿರುವ ವಿಳಾಸವು ಸಂರಕ್ಷಿತ ಶ್ರೇಣಿಯೊಳಗೆ ಇದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ASA ಯಲ್ಲಿ ಆ ಶ್ರೇಣಿ ಕ್ರಿಪ್ಟೊ ACL ನಿಂದ ಅಥವಾ VTI ಯ ಮಾರ್ಗಗಳಿಂದ ಬರುತ್ತದೆ, ಮತ್ತು ಅದು ಮೂಲದ ನಿಜವಾದ ವಿಳಾಸವನ್ನು ಆವರಿಸಬೇಕು, ಶಾಖೆ ನಿರ್ವಹಣೆಗೆ ಬಳಸುವ ಉಪಜಾಲವನ್ನಲ್ಲ. ಮೂಲವನ್ನು ತಪ್ಪಿಸುವ ಆಯ್ಕೆದಾರ ನಿಮಗೆ ಮೇಲಿರುವ ಟನೆಲ್ ಮತ್ತು ಅದನ್ನು ಎಂದಿಗೂ ಪ್ರವೇಶಿಸದ ಹರಿವನ್ನು ನೀಡುತ್ತದೆ.

ಅನುವಾದವನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಟನೆಲ್ ಕೌಂಟರ್ಗಳು ಮತ್ತು ಮಾರ್ಗ ಕೋಷ್ಟಕದಿಂದ ಇದನ್ನು ಖಚಿತಪಡಿಸಿ. ಹಬ್ನಿಂದ ಟನೆಲ್ ಮೂಲಕ ಮೂಲವನ್ನು ತಲುಪಲು ಸಾಧ್ಯವಾಗದಿದ್ದರೆ, ಈ ಪಟ್ಟಿಯಲ್ಲಿ ಮುಂದಿನ ಯಾವುದೂ ಅದನ್ನು ಸರಿಪಡಿಸಲಾರದು.

ಸಂರಕ್ಷಿತ ಶ್ರೇಣಿ ಮತ್ತು ಮೂಲ ವಿಳಾಸ ಹೊಂದದಿದ್ದರೆ ಇಲ್ಲಿಯೇ ನಿಲ್ಲಿಸಿ.

ಪರಿಶೀಲನೆ 2: ಶಾಖೆ ಯಾವ ಮೂಲವನ್ನು ನೋಡುತ್ತದೆ ಎಂದು ನಿರ್ಧರಿಸಿ

ಶಾಖೆಯು ಕ್ಲೈಂಟ್ನ ಮೂಲ ವಿಳಾಸವನ್ನು ಅಥವಾ ಅನುವಾದಿತ ವಿಳಾಸವನ್ನು ನೋಡುತ್ತದೆ, ಮತ್ತು ಆ ಆಯ್ಕೆ ಹಿಂತಿರುಗುವ ಮಾರ್ಗವನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. ಕ್ಲೈಂಟ್ ವಿಳಾಸವನ್ನು ಉಳಿಸಿಕೊಳ್ಳುವುದು ಮೂಲದ ಲಾಗ್ಗಳಲ್ಲಿ ಸ್ವಚ್ಛವಾಗಿ ಓದುತ್ತದೆ, ಆದರೆ ಆಗ ಶಾಖೆಯು ಸಾರ್ವಜನಿಕ ಕ್ಲೈಂಟ್ಗಳಿಗೆ ಪ್ರತಿಕ್ರಿಯೆಗಳನ್ನು ಟನೆಲ್ ಮೂಲಕ ಹಿಂತಿರುಗಿಸಬೇಕು; ಸಾಮಾನ್ಯ ಇಂಟರ್ನೆಟ್ ಡೀಫಾಲ್ಟ್ ಅವುಗಳನ್ನು ಇನ್ನೊಂದು ದಿಕ್ಕಿಗೆ ಕಳುಹಿಸುತ್ತದೆ ಮತ್ತು ಸಂಪರ್ಕ ಒಂದು ದಿಕ್ಕಿನಲ್ಲಿ ಸಾಯುತ್ತದೆ. ಮೂಲವನ್ನು ಶಾಖೆ ಈಗಾಗಲೇ ಟನೆಲ್ ಮೂಲಕ ಮಾರ್ಗೀಕರಿಸುವ ವಿಳಾಸಕ್ಕೆ ಅನುವಾದಿಸುವುದು ಆ ಷರತ್ತನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ.

ಅನುವಾದವು ಮೂಲವು ಏನನ್ನು ಲಾಗ್ ಮಾಡಬಹುದು ಮತ್ತು ಮೂಲ-ಆಧಾರಿತ ನಿಯಮಗಳು ಯಾವುದಕ್ಕೆ ಹೊಂದಬಹುದು ಎಂಬುದನ್ನೂ ಬದಲಾಯಿಸುತ್ತದೆ. ಅಪ್ಲಿಕೇಶನ್ಗೆ ವಿನಂತಿಯ ಹಿಂದಿನ ವ್ಯಕ್ತಿಯನ್ನು ತಿಳಿಯಬೇಕಿದ್ದರೆ, ಅದರ ಸ್ಥಾನ ದೃಢೀಕೃತ ರಿವರ್ಸ್ ಪ್ರಾಕ್ಸಿ, NAT ನಿರ್ಧಾರವಲ್ಲ.

ಪರಿಶೀಲನೆ 3: ನಿಜವಾದ ಇಂಟರ್ಫೇಸ್ಗಳ ವಿರುದ್ಧ ಅನುವಾದವನ್ನು ಬರೆಯಿರಿ

ASA ಅನುವಾದ ನಿಯಮಗಳನ್ನು ಕ್ರಮದಲ್ಲಿ ಮೌಲ್ಯಮಾಪನ ಮಾಡುತ್ತದೆ ಮತ್ತು ಯಾವುದು ಹೊಂದಿತು ಎಂದು ವರದಿ ಮಾಡುತ್ತದೆ, ಆದ್ದರಿಂದ ನಿಯಮದೊಳಗಿನ ಇಂಟರ್ಫೇಸ್ ಜೋಡಿ ಅಲಂಕಾರವಲ್ಲ. ಹೊರಗಿನಿಂದ ಒಳಕ್ಕೆ ಮಾರ್ಗಕ್ಕಾಗಿ ಬರೆದ ನಿಯಮವು ನೀವು ಊಹಿಸಿದ ಪ್ರವೇಶ ಮತ್ತು ನಿರ್ಗಮನಕ್ಕಿಂತ ಭಿನ್ನವಾದ ಹರಿವಿಗೆ ಹೊಂದುವುದಿಲ್ಲ.

ನೀವು ನಿರ್ಮಿಸುತ್ತಿರುವ ಮಾರ್ಗಕ್ಕೆ ನಾಲ್ಕು ಭಾಗಗಳಿವೆ, ಮತ್ತು ನಾಲ್ಕೂ ಹೊಂದಬೇಕು:

ಆ ಕೋಷ್ಟಕದ ಶ್ರೇಣಿಗಳನ್ನು ಪ್ಲೇಸ್ಹೋಲ್ಡರ್ಗಳಾಗಿ ಪರಿಗಣಿಸಿ. ಮುಖ್ಯವಾದುದು ಅನುವಾದದ ನಂತರದ ಟ್ಯೂಪಲ್ ಶಾಖೆ ಟನೆಲ್ ಮೂಲಕ ಸ್ವೀಕರಿಸುವ ವಿಳಾಸವಾಗಿರುವುದು, ಮತ್ತು NAT ಸ್ಥಿತಿಯಲ್ಲಿ ವಿಲೋಮ ಮ್ಯಾಪಿಂಗ್ ಇರುವುದು, ಇದರಿಂದ ಪ್ರತಿಕ್ರಿಯೆ ಹೊರಹೋಗುವಾಗ ಮರುಸ್ಥಾಪನೆಯಾಗುತ್ತದೆ.

ಪರಿಶೀಲನೆ 4: ಪ್ರವೇಶ ನಿಯಮವನ್ನು ಪ್ರಕಟಿತ ಪೋರ್ಟ್ಗೆ ಸೀಮಿತಗೊಳಿಸಿ

ಪೋರ್ಟ್ ಪ್ರಕಟಿಸಿ, ಹೋಸ್ಟ್ ಅಲ್ಲ. ಪ್ರತಿ ಸೇವೆಯಲ್ಲಿ ಮೂಲಕ್ಕೆ ಅನುಮತಿ ನೀಡುವ ನಿಯಮವು ಒಂದು ಪ್ರಕಟಿತ ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ಮೂಲ ಚಲಾಯಿಸುವ ಎಲ್ಲದಕ್ಕೂ ಮಾರ್ಗವಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ, ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಇಂಟರ್ನೆಟ್ನಿಂದ ಹೊರಗಿಟ್ಟ ನಿರ್ವಹಣಾ ಇಂಟರ್ಫೇಸ್ ಸೇರಿದಂತೆ. ಅನುವಾದಿತ ಮೂಲದಿಂದ ಮೂಲಕ್ಕೆ ಪ್ರಕಟಿತ ಪೋರ್ಟ್ಗೆ ಅನುಮತಿ ನೀಡಿ, ಮತ್ತು ಆಡಳಿತ ಸೇವೆಗಳನ್ನು ಅವುಗಳ ಕೇವಲ-VPN ಮಾರ್ಗದಲ್ಲಿ ಬಿಡಿ.

ಅದೇ ಸಮಯದಲ್ಲಿ ನಿಯಮಗಳ ಕ್ರಮವನ್ನು ಪರಿಶೀಲಿಸಿ. ನಿಮ್ಮ ನಿರ್ದಿಷ್ಟ ನಿಯಮದ ಮೇಲೆ ಕುಳಿತಿರುವ ವಿಶಾಲ ಅನುಮತಿ ನಿರ್ದಿಷ್ಟ ನಿಯಮವನ್ನು ಅಗೋಚರವಾಗಿಸುತ್ತದೆ.

ಪರಿಶೀಲನೆ 5: ಒಂದು ವಿನಂತಿ ಮತ್ತು ಅದರ ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಜಾಡುಹಿಡಿಯಿರಿ

ಬ್ರೌಸರ್ನಿಂದ ಪ್ರಾರಂಭಿಸಬೇಡಿ, ಏಕೆಂದರೆ ಬ್ರೌಸರ್ ಯಾವ ಭಾಗ ವಿಫಲವಾಯಿತು ಎಂಬುದನ್ನು ಮರೆಮಾಡುತ್ತದೆ. ಹಬ್ನಲ್ಲಿ ಹರಿವನ್ನು ಜಾಡುಹಿಡಿದು ಏನನ್ನಾದರೂ ಬದಲಿಸುವ ಮೊದಲು ಫಲಿತಾಂಶವನ್ನು ಓದಿ.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

ಜಾಡು ಹೊಂದಿದ ಅನುವಾದ, ಹರಿವಿಗೆ ಅನುಮತಿ ನೀಡಿದ ಅಥವಾ ನಿರಾಕರಿಸಿದ ಪ್ರವೇಶ ನಿಯಮ, ಮತ್ತು ಪ್ಯಾಕೆಟ್ ಟನೆಲ್ಗೆ ಮಾರ್ಗೀಕರಣಗೊಂಡಿದೆಯೇ ಎಂಬುದನ್ನು ಹೆಸರಿಸುತ್ತದೆ. ಹರಿವು ನೀವು ನಿರೀಕ್ಷಿಸದ ಇಂಟರ್ಫೇಸ್ನಿಂದ ಹೊರಬರುತ್ತಿದೆ ಎಂದು ತೋರಿಸಿದರೆ, NAT ನಿಯಮದ ಇಂಟರ್ಫೇಸ್ ಜೋಡಿ ತಪ್ಪು. ನಿರಾಕರಣೆ ತೋರಿಸಿದರೆ, ನಿಯಮಗಳ ಕ್ರಮ ತಪ್ಪು. ಅದು ಟನೆಲ್ ತಲುಪಿ ಮೂಲ ಎಂದಿಗೂ ಉತ್ತರಿಸದಿದ್ದರೆ, ಸಮಸ್ಯೆ ಶಾಖೆಯ ಹಿಂತಿರುಗುವ ಮಾರ್ಗ.

ನಂತರ ಹೊರಗಿನಿಂದ ಒಂದು ನಿಜವಾದ ವಿನಂತಿ ಕಳುಹಿಸಿ ಮತ್ತು ಪ್ರತಿಕ್ರಿಯೆ ಅದೇ ಟನೆಲ್ ಮೂಲಕ ಹಿಂತಿರುಗುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಪ್ರಕಟಿತ ನಮೂದು, ಅನುವಾದ, ಸಂರಕ್ಷಿತ ವಿಳಾಸ ಜೋಡಿ ಮತ್ತು ಹಿಂತಿರುಗುವ ಮಾರ್ಗವನ್ನು ಪ್ರಕಟನ ದಾಖಲೆಯಾಗಿ ದಾಖಲಿಸಿ.