Vidinės paslaugos publikavimas per ASA VPN tarp svetainių

Vidinės paslaugos, kuri gyvena už VPN tarp svetainių, publikavimas yra viena užduotis su penkiais gedimo taškais, ir jie genda fiksuota tvarka. Tunelis pakyla, vertimas sutampa, filialas atsako, ir atsakymas grįžta tuo pačiu keliu. Kai kuris nors iš jų neteisingas, naršyklė rodo tą patį: ryšį, kuris pakimba arba atsistato. Peržiūrėkite sąrašą iš viršaus į apačią ir sustokite ties pirmu patikrinimu, kuris nepraeina.

1 patikrinimas: tunelis apsaugo šaltinio adresą

Pradėkite nuo tunelio, kuris jau praleidžia srautą, tada patvirtinkite, kad adresas, kurį ketinate publikuoti, yra apsaugotame diapazone. ASA šis diapazonas kyla iš kriptografinio ACL arba iš VTI maršrutų, ir jis turi apimti tikrąjį šaltinio adresą, o ne potinklį, kurį filialas naudoja valdymui. Selektorius, kuris praleidžia šaltinį, duoda jums tunelį, kuris stovi, ir srautą, kuris į jį niekada nepatenka.

Patvirtinkite tai tunelio skaitikliais ir maršrutų lentele prieš liesdami vertimą. Jei šaltinis nepasiekiamas iš koncentratoriaus per tunelį, niekas vėliau šiame sąraše to nepataisys.

Sustokite čia, jei apsaugotas diapazonas ir šaltinio adresas nesutampa.

2 patikrinimas: nuspręskite, kokį šaltinį matys filialas

Filialas mato arba pirminį kliento adresą, arba išverstą, ir šis pasirinkimas lemia grįžimo kelią. Išsaugoti kliento adresą atrodo švariau šaltinio žurnaluose, bet tada filialas turi siųsti atsakymus viešiems klientams atgal per tunelį; įprastas interneto numatytasis maršrutas juos siunčia priešinga kryptimi, ir ryšys miršta viena kryptimi. Šaltinio vertimas į adresą, kurį filialas jau maršrutizuoja per tunelį, pašalina šį reikalavimą.

Vertimas taip pat keičia, ką šaltinis gali registruoti ir su kuo gali sutapti šaltiniu pagrįstos taisyklės. Jei programai reikia žinoti žmogų už užklausos, tam vieta yra autentifikuotas atvirkštinis tarpinis serveris, o ne NAT sprendimas.

3 patikrinimas: rašykite vertimą pagal tikrąsias sąsajas

ASA vertina vertimo taisykles iš eilės ir praneša, kuri sutapo, todėl sąsajų pora taisyklės viduje nėra kosmetinė. Taisyklė, parašyta keliui iš išorės į vidų, nesutaps su srautu, kurio įėjimas ir išėjimas skiriasi nuo numatytų.

Kelias, kurį statote, turi keturias atkarpas, ir visos keturios turi sutarti:

Tuos diapazonus lentelėje laikykite vietos rezervais. Svarbu tai, kad po vertimo eilutė būtų adresas, kurį filialas priima per tunelį, ir kad NAT būsenoje egzistuotų atvirkštinis susiejimas, todėl atsakymas atstatomas išeinant.

4 patikrinimas: apribokite prieigos taisyklę paskelbtu prievadu

Skelbkite prievadą, o ne mazgą. Taisyklė, leidžianti šaltiniui visose paslaugose, vieną paskelbtą programą paverčia keliu į viską, ką šaltinis vykdo, įskaitant valdymo sąsają, kurią sąmoningai laikėte už interneto ribų. Leiskite paskelbtą prievadą nuo išversto šaltinio iki šaltinio, o administracines paslaugas palikite jų tik-VPN kelyje.

Tuo pat metu patikrinkite taisyklių tvarką. Platus leidimas virš jūsų konkrečios taisyklės daro konkrečią taisyklę nematomą.

5 patikrinimas: atsekite vieną užklausą ir jos atsakymą

Nepradėkite nuo naršyklės, nes naršyklė slepia, kuri atkarpa nepraėjo. Atsekite srautą koncentratoriuje ir perskaitykite rezultatą prieš ką nors keisdami.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Sekimas nurodo sutapusį vertimą, prieigos taisyklę, kuri leido arba atmetė srautą, ir ar paketas buvo nukreiptas į tunelį. Jei rodo, kad srautas išeina per sąsają, kurios nesitikėjote, NAT taisyklės sąsajų pora neteisinga. Jei rodo atmetimą, taisyklių tvarka neteisinga. Jei pasiekia tunelį, bet šaltinis niekada neatsako, problema yra filialo grįžimo kelias.

Tada išsiųskite vieną tikrą užklausą iš išorės ir patvirtinkite, kad atsakymas grįžta tuo pačiu tuneliu. Užrašykite paskelbtą įrašą, vertimą, apsaugotą adresų porą ir grįžimo maršrutą kaip publikavimo įrašą.