Iekšēja pakalpojuma publicēšana caur ASA starpvietņu VPN

Pakalpojuma, kas dzīvo aiz starpvietņu VPN, publicēšana ir viens uzdevums ar pieciem atteices punktiem, un tie atsakās noteiktā secībā. Tunelis paceļas, tulkojums sakrīt, filiāle atbild, un atbilde nāk atpakaļ pa to pašu ceļu. Kad kaut kas no tā ir nepareizi, pārlūkprogramma rāda to pašu: savienojumu, kas karājas vai tiek atiestatīts. Izstrādājiet sarakstu no augšas uz leju un apstājieties pie pirmās pārbaudes, kas neizdodas.

1. pārbaude: tunelis aizsargā avota adresi

Sāciet ar tuneli, kas jau laiž cauri satiksmi, pēc tam apstipriniet, ka adrese, kuru plānojat publicēt, atrodas aizsargātajā diapazonā. ASA šis diapazons nāk no šifrēšanas ACL vai no VTI maršrutiem, un tam ir jāaptver avota īstā adrese, nevis apakštīkls, ko filiāle izmanto pārvaldībai. Atlasītājs, kas palaiž garām avotu, dod jums tuneli, kas stāv, un plūsmu, kas tajā nekad neiekļūst.

Apstipriniet to ar tuneļa skaitītājiem un maršrutu tabulu, pirms pieskaraties tulkojumam. Ja avots nav sasniedzams no centrmezgla caur tuneli, nekas vēlāk šajā sarakstā to nevar salabot.

Apstājieties šeit, ja aizsargātais diapazons un avota adrese nesakrīt.

2. pārbaude: izlemiet, kādu avotu redzēs filiāle

Filiāle redz vai nu sākotnējo klienta adresi, vai tulkoto, un šī izvēle nosaka atgriešanās ceļu. Klienta adreses saglabāšana lasās tīrāk avota žurnālos, bet tad filiālei atbildes publiskiem klientiem jāsūta atpakaļ pa tuneli; parasts interneta noklusējuma maršruts tās sūta otrā virzienā, un savienojums mirst vienā virzienā. Avota tulkošana adresē, kuru filiāle jau maršrutē pa tuneli, šo prasību novērš.

Tulkošana arī maina to, ko avots var reģistrēt, un to, ar ko var sakrist uz avotu balstīti noteikumi. Ja lietojumprogrammai jāzina cilvēks aiz pieprasījuma, tā vieta ir autentificēts apgrieztais starpniekserveris, nevis NAT lēmums.

3. pārbaude: rakstiet tulkojumu atbilstoši īstajām saskarnēm

ASA izvērtē tulkošanas noteikumus secībā un ziņo, kurš sakrita, tāpēc saskarņu pāris noteikuma iekšienē nav kosmētisks. Noteikums, kas rakstīts ceļam no ārpuses uz iekšu, nesakritīs ar plūsmu, kuras ieeja un izeja atšķiras no pieņemtajām.

Ceļam, kuru būvējat, ir četras daļas, un visām četrām jāsaskan:

Uzskatiet diapazonus šajā tabulā par vietas turētājiem. Svarīgi ir tas, ka pēc tulkošanas kortežs ir adrese, kuru filiāle pieņem pa tuneli, un ka NAT stāvoklī pastāv apgrieztā kartēšana, lai atbilde tiktu atjaunota izejā.

4. pārbaude: ierobežojiet piekļuves noteikumu ar publicēto portu

Publicējiet portu, nevis resursdatoru. Noteikums, kas atļauj avotu katrā pakalpojumā, pārvērš vienu publicētu lietojumprogrammu ceļā uz visu, ko avots darbina, tostarp pārvaldības saskarni, kuru apzināti turējāt ārpus interneta. Atļaujiet publicēto portu no tulkotā avota uz avotu, un atstājiet administratīvos pakalpojumus to tikai-VPN ceļā.

Tajā pašā laikā pārbaudiet noteikumu secību. Plaša atļauja virs jūsu konkrētā noteikuma padara konkrēto noteikumu neredzamu.

5. pārbaude: izsekojiet vienu pieprasījumu un tā atbildi

Nesāciet ar pārlūkprogrammu, jo pārlūkprogramma slēpj, kura daļa neizdevās. Izsekojiet plūsmu centrmezglā un izlasiet rezultātu, pirms kaut ko maināt.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Izsekošana nosauc sakritušo tulkojumu, piekļuves noteikumu, kas atļāva vai noraidīja plūsmu, un to, vai pakete tika maršrutēta tunelī. Ja tā rāda, ka plūsma iziet no saskarnes, kuru negaidījāt, NAT noteikuma saskarņu pāris ir nepareizs. Ja tā rāda atteikumu, noteikumu secība ir nepareiza. Ja tā sasniedz tuneli, bet avots nekad neatbild, problēma ir filiāles atgriešanās ceļš.

Pēc tam nosūtiet vienu īstu pieprasījumu no ārpuses un apstipriniet, ka atbilde nāk atpakaļ pa to pašu tuneli. Ierakstiet publicēto ierakstu, tulkojumu, aizsargāto adrešu pāri un atgriešanās maršrutu kā publicēšanas ierakstu.