Ички кызматты ASA сайттар аралык VPN аркылуу жарыялоо

Ички кызматты ASA сайттар аралык VPN аркылуу ачуу үчүн беш ырааттуу текшерүү: корголгон диапазон, булак модели, трансляция, порттун камтышы, жооп жолу.

Сайттар аралык VPNдин артында жашаган кызматты жарыялоо — беш ийгиликсиздик чекити бар бир тапшырма, жана алар белгиленген тартипте ийгиликсиз болот. Туннель көтөрүлөт, трансляция дал келет, филиал жооп берет жана жооп ошол эле жол менен кайтат. Алардын бири туура эмес болсо, браузер ошону көрсөтөт: илинип калган же кайра орнотулган туташуу. Тизмени жогорудан ылдый иштетип, ийгиликсиз болгон биринчи текшерүүдө токтоңуз.

Текшерүү 1: туннель булак дарегин коргойт

Трафикти өткөрүп жаткан туннелден баштаңыз, анан жарыялоону пландаган дарек корголгон диапазондун ичинде экенин ырастаңыз. ASAда ал диапазон шифрлоо ACLинен же VTI маршруттарынан келет жана булактын чыныгы дарегин камтышы керек, филиал башкаруу үчүн колдонгон ички тармакты эмес. Булакты өткөрүп жиберген тандагыч сизге көтөрүлгөн туннель жана ага эч качан кирбеген агымды берет.

Трансляцияга тийишпестен мурун туннелдин эсептегичтери жана маршрут таблицасы менен ырастаңыз. Эгер булак хабдан туннель аркылуу жеткиликсиз болсо, бул тизмедеги кийинки эч нерсе аны оңдой албайт.

Корголгон диапазон менен булактын дареги дал келбесе, ушул жерде токтоңуз.

Текшерүү 2: филиал кайсы булакты көрөөрүн чечиңиз

Филиал кардардын баштапкы дарегин же трансляцияланган даректи көрөт, жана бул тандоо кайтуу жолун аныктайт. Кардардын дарегин сактоо булактын журналдарында тазараак окулат, бирок анда филиал коомдук кардарлар үчүн жоопторду туннель аркылуу кайтарышы керек; кадимки интернеттин демейки маршруту аларды карама-каршы жакка жөнөтөт жана туташуу бир багытта өлөт. Булакты филиал туннель аркылуу маршруттаган дарекке трансляциялоо бул талапты алып салат.

Трансляция ошондой эле булак эмнени журналга жаза аларын жана булакка негизделген эрежелер эмнеге дал келе аларын өзгөртөт. Эгер колдонмого сурамдын артындагы адамды билүү керек болсо, анын орду аутентификацияланган тескери прокси, NAT чечими эмес.

Текшерүү 3: трансляцияны реалдуу интерфейстерге жараша жазыңыз

ASA трансляция эрежелерин тартип менен баалайт жана кайсынысы дал келгенин билдирет, андыктан эреженин ичиндеги интерфейс жуптугу кооздук эмес. Сырттан ичке жол үчүн жазылган эреже кирүү жана чыгуу сиз ойлогондон башкача болгон агымга дал келбейт.

Сиз куруп жаткан жолдун төрт бөлүгү бар жана төртөө тең дал келиши керек:

LegSourceDestination
Request from the internet198.51.100.25203.0.113.20:443
After destination translation198.51.100.2510.60.20.10:443
After source translation toward the tunnel10.10.250.1010.60.20.10:443
Branch reply10.60.20.1010.10.250.10
Restored reply to the client203.0.113.20198.51.100.25

Ошол таблицадагы диапазондорду орун толтургуч катары кабыл алыңыз. Маанилүүсү — трансляциядан кийинки кортеж филиал туннель аркылуу кабыл алган дарек болушу жана NAT абалында тескери карталоо болушу, ошондо жооп чыгууда калыбына келет.

Текшерүү 4: кирүү эрежесин жарыяланган порт менен чектеңиз

Портту жарыялаңыз, хостту эмес. Булакка ар бир кызматта уруксат берген эреже бир жарыяланган колдонмону булак иштеткен бардык нерсеге жолго айландырат, анын ичинде атайын интернеттен тышкары кармаган башкаруу интерфейсин да. Трансляцияланган булактан булакка жарыяланган портко уруксат бериңиз жана административдик кызматтарды өздөрүнүн гана-VPN жолунда калтырыңыз.

Ошол эле учурда эрежелердин тартибин текшериңиз. Сиздин конкреттүү эрежеңиздин үстүндө турган кенен уруксат конкреттүү эрежени көрүнбөс кылат.

Текшерүү 5: бир сурамды жана анын жообун көзөмөлдөңүз

Браузерден баштабаңыз, анткени браузер кайсы бөлүк ийгиликсиз болгонун жашырат. Хабда агымды көзөмөлдөп, бир нерсени өзгөртүүдөн мурун жыйынтыкты окуңуз.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Из дал келген трансляцияны, агымга уруксат берген же баш тарткан кирүү эрежесин жана пакет туннелге багытталганын атайт. Эгер агым күтпөгөн интерфейстен чыгып жатканын көрсөтсө, NAT эрежесиндеги интерфейс жуптугу туура эмес. Эгер баш тартуу көрсөтсө, эрежелердин тартиби туура эмес. Эгер ал туннелге жетип, бирок булак эч качан жооп бербесе, маселе филиалдын кайтуу жолунда.

Анан сырттан бир реалдуу сурам жөнөтүп, жооп ошол эле туннель аркылуу кайтарын ырастаңыз. Жарыяланган жазууну, трансляцияны, корголгон дарек жуптугун жана кайтуу маршрутун жарыялоо жазуусу катары жазыңыз.

Тектеш макалалар