Објавување внатрешна услуга преку ASA VPN меѓу локации

Објавувањето услуга што живее зад VPN меѓу локации е една задача со пет точки на отказ и тие откажуваат по фиксен ред. Тунелот се крева, преводот се совпаѓа, огранокот одговара и одговорот се враќа по истиот пат. Кога било што од тоа е погрешно, прелистувачот го покажува истото: врска што виси или се ресетира. Работете ја листата од горе надолу и застанете на првата проверка што не поминува.

Проверка 1: тунелот ја штити адресата на изворот

Започнете со тунел што веќе пропушта сообраќај, потоа потврдете дека адресата што планирате да ја објавите е во заштитениот опсег. На ASA тој опсег доаѓа од крипто ACL или од рутите на VTI, и мора да ја покрива вистинската адреса на изворот, а не подмрежата што огранокот ја користи за управување. Селектор што го промашува изворот ви дава тунел што е кренат и тек што никогаш не влегува во него.

Потврдете го тоа со бројачите на тунелот и табелата со рути пред да го допрете преводот. Ако изворот не е достапен од центарот преку тунелот, ништо подоцна во оваа листа не може да го поправи.

Застанете тука ако заштитениот опсег и адресата на изворот не се совпаѓаат.

Проверка 2: одлучете кој извор ќе го види огранокот

Огранокот ја гледа или оригиналната адреса на клиентот или преведена, и тој избор го одредува патот на враќање. Зачувувањето на адресата на клиентот се чита почисто во евиденциите на изворот, но тогаш огранокот мора да ги врати одговорите за јавните клиенти преку тунелот; обичната стандардна интернет рута ги праќа во другата насока и врската умира во една насока. Преведувањето на изворот во адреса што огранокот веќе ја рутира преку тунелот го отстранува тоа барање.

Преводот исто така менува што изворот може да евидентира и со што можат да се совпаднат правилата засновани на извор. Ако апликацијата треба да го знае човекот зад барањето, тоа место е автентифициран обратен прокси, а не одлука на NAT.

Проверка 3: напишете го преводот спрема вистинските интерфејси

ASA ги оценува правилата за превод по ред и известува кое се совпадна, така што парот интерфејси во правилото не е козметички. Правило напишано за пат од надвор кон внатре нема да се совпадне со тек чиј влез и излез се разликуваат од претпоставените.

Патот што го градите има четири делови и сите четири мора да се совпаднат:

Третирајте ги опсезите во таа табела како резервирани места. Важно е торката по преводот да е адреса што огранокот ја прифаќа преку тунелот и обратното мапирање да постои во состојбата на NAT, за да се врати одговорот на излезот.

Проверка 4: ограничете го правилото за пристап на објавената порта

Објавете ја портата, не домаќинот. Правило што му дозволува на изворот на секоја услуга претвора една објавена апликација во пат до сѐ што извршува изворот, вклучително интерфејсот за управување што намерно го држевте надвор од интернет. Дозволете ја објавената порта од преведениот извор до изворот и оставете ги административните услуги на нивниот пат само преку VPN.

Проверете го редот на правилата во исто време. Широка дозвола што стои над вашето конкретно правило го прави конкретното правило невидливо.

Проверка 5: следете едно барање и неговиот одговор

Не започнувајте со прелистувач, бидејќи прелистувачот крие кој дел откажал. Следете го текот на центарот и прочитајте го резултатот пред да промените нешто.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Трагата го именува преводот што се совпаднал, правилото за пристап што го дозволило или одбило текот и дали пакетот бил рутиран во тунелот. Ако покажува дека текот излегува од интерфејс што не сте го очекувале, парот интерфејси во правилото на NAT е погрешен. Ако покажува одбивање, редот на правилата е погрешен. Ако стигне до тунелот, но изворот никогаш не одговори, проблемот е патот на враќање на огранокот.

Потоа испратете едно вистинско барање однадвор и потврдете дека одговорот се враќа преку истиот тунел. Забележете го објавениот запис, преводот, заштитениот пар адреси и рутата на враќање како запис за објавување.