Ee internen Déngscht iwwer en ASA-Site-to-Site-VPN verëffentlechen

Fënnef geuerdnete Prüfungen, fir en internen Déngscht iwwer en ASA-Site-to-Site-VPN opzemaachen: geschützte Beräich, Quellmodell, Iwwersetzung, Portëmfang, Äntwertwee.

En Déngscht verëffentlechen, deen hannert engem Site-to-Site-VPN lieft, ass eng eenzeg Aufgab mat fënnef Feelerpunkten, an se schloe sech an enger fester Reiefolleg feel. Den Tunnel kënnt erop, d’Iwwersetzung passt, d’Filial äntwert, an d’Äntwert kënnt iwwert dee selwechte Wee zeréck. Wann ee vun deenen falsch ass, weist de Browser datselwecht: eng Verbindung, déi hänke bleift oder zréckgesat gëtt. Aarbecht d’Lëscht vun uewen no ënnen of a stoppt bei der éischter Prüfung, déi feelt.

Prüfung 1: den Tunnel schützt d’Originngsadress

Fänkt mat engem Tunnel un, deen schonn Trafic duerchléisst, a bestätegt duerno, datt d’Adress, déi Dir verëffentleche wëllt, an de geschützte Beräich fält. Op enger ASA kënnt dee Beräich aus der Krypto-ACL oder aus de Route vun enger VTI, an en muss déi richteg Adress vum Origin decken, net de Subnetz, deen d’Filial fir d’Verwaltung benotzt. En Auswieler, deen den Origin verfeelt, gëtt Iech en Tunnel, deen uewen ass, an e Flux, deen ni eran geet.

Bestätegt dat mat den Tunnelszähler an der Routentabelle, ier Dir d’Iwwersetzung ufaasst. Wann den Origin vum Hub aus net iwwert den Tunnel erreechbar ass, kann näischt méi spéit an dëser Lëscht dat reparéieren.

Stoppt hei, wann de geschützte Beräich an d’Originngsadress net iwwerenee stëmmen.

Prüfung 2: entscheet, wéi eng Quell d’Filial gesäit

D’Filial gesäit entweder déi ursprénglech Clientadress oder eng iwwersat, an déi Wiel entscheet de Réckwee. D’Clientadress ze behalen liest sech méi propper an den Originalsprotokoller, awer dann muss d’Filial Äntwerten fir ëffentlech Clienten iwwert den Tunnel zréckschécken; eng gewéinlech Internet-Defaultroute schéckt se an déi aner Richtung an d’Verbindung stierft an enger Richtung. D’Quell op eng Adress z’iwwersetzen, déi d’Filial schonn iwwert den Tunnel routeet, hieft deem Ufuerderung op.

D’Iwwersetzung ännert och, wat den Origin protokolléiere kann a wourop quellbaséiert Regel kënnen treffen. Wann d’Applikatioun de Mënsch hannert enger Ufro muss wëssen, gehéiert dat an en authentifizéierte Reverse-Proxy, net an eng NAT-Entscheedung.

Prüfung 3: schreift d’Iwwersetzung géint déi richteg Schnëttstellen

Eng ASA bewäert Iwwersetzungsregelen an der Reiefolleg a mellt, wéi eng gepasst huet, dofir ass d’Schnëttstellpaar an der Regel net kosmetesch. Eng Regel, déi fir e Wee vun dobaussen no bannen geschriwwe gouf, passt net op e Flux, deem säin Agang an Ausgang vun deenen ofwäichen, déi Dir ugeholl hutt.

De Wee, deen Dir baut, huet véier Deeler, a jiddwereen vun de véier muss iwwerenee stëmmen:

LegSourceDestination
Request from the internet198.51.100.25203.0.113.20:443
After destination translation198.51.100.2510.60.20.10:443
After source translation toward the tunnel10.10.250.1010.60.20.10:443
Branch reply10.60.20.1010.10.250.10
Restored reply to the client203.0.113.20198.51.100.25

Betracht d’Beräicher an där Tabelle als Plazhalter. Wat zielt, ass datt den Tupel no der Iwwersetzung eng Adress ass, déi d’Filial iwwert den Tunnel akzeptéiert, an datt d’ëmgedréit Mapping am NAT-Zoustand existéiert, soudatt d’Äntwert um Auswee restauréiert gëtt.

Prüfung 4: begrenzt d’Zougangsregel op de verëffentlechte Port

Verëffentlecht de Port, net den Host. Eng Regel, déi den Origin op all Déngscht erlaabt, mécht aus enger verëffentlechter Applikatioun e Wee zu allem, wat den Origin lafe léisst, inklusiv de Verwaltungsschnëttstell, déi Dir bewosst vum Internet ewech gehal hutt. Erlaabt de verëffentlechte Port vun der iwwersater Quell zum Origin, a loosst d’administrativ Déngschter op hirem nëmme-VPN-Wee.

Préift d’Reiefolleg vun de Regelen zur selwechter Zäit. Eng breet Erlaabnes iwwert Ärer spezifescher Regel mécht déi spezifesch Regel onsiichtbar.

Prüfung 5: verfollegt eng Ufro an hir Äntwert

Fänkt net mat engem Browser un, well e Browser verstoppt, wéi en Deel feelt. Verfollegt de Flux um Hub a liest d’Resultat, ier Dir eppes ännert.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

D’Verfolgung nennt d’Iwwersetzung, déi gepasst huet, d’Zougangsregel, déi de Flux erlaabt oder verweigert huet, an ob de Pak an den Tunnel gerout gouf. Wa se weist, datt de Flux aus enger Schnëttstell erauskënnt, déi Dir net erwaart hutt, ass d’Schnëttstellpaar an der NAT-Regel falsch. Wa se eng Verweigerung weist, ass d’Reiefolleg vun de Regelen falsch. Wa se den Tunnel erreecht, awer den Origin ni äntwert, ass de Réckwee vun der Filial de Problem.

Duerno schéckt eng richteg Ufro vun dobaussen a bestätegt, datt d’Äntwert iwwert dee selwechten Tunnel zréckkënnt. Halt de verëffentlechten Entrée, d’Iwwersetzung, dat geschützt Adresspaar an d’Réckroute als Verëffentlechungsnotiz fest.

Ähnlech Artikelen