ASA сайт хоорондын VPN-ээр дотоод үйлчилгээг нийтлэх

Сайт хоорондын VPN-ийн ард амьдардаг үйлчилгээг нийтлэх нь таван бүтэлгүйтлийн цэгтэй нэг ажил бөгөөд тэдгээр нь тогтсон дарааллаар бүтэлгүйтдэг. Туннель босч, хөрвүүлэлт таарч, салбар хариу өгч, хариу нь мөнөөх замаар буцаж ирдэг. Эдгээрийн аль нэг нь буруу бол хөтөч ижил зүйлийг харуулна: өлгөөтэй эсвэл дахин тохируулагдсан холболт. Жагсаалтыг дээрээс доош хийж, бүтэлгүйтсэн эхний шалгалт дээр зогсоно уу.

Шалгалт 1: туннель эх сурвалжийн хаягийг хамгаалдаг

Аль хэдийн урсгал дамжуулж байгаа туннелиас эхэлж, дараа нь нийтлэхээр төлөвлөж буй хаяг хамгаалагдсан хүрээ дотор байгаа эсэхийг баталгаажуулна уу. ASA дээр тэр хүрээ нь шифрлэлтийн ACL эсвэл VTI-ийн маршрутаас ирдэг бөгөөд эх сурвалжийн жинхэнэ хаягийг бүрхэх ёстой, салбар удирдлагад ашигладаг дэд сүлжээг биш. Эх сурвалжийг алгасах сонгогч танд боссон туннель ба түүнд хэзээ ч орохгүй урсгалыг өгнө.

Хөрвүүлэлтэд хүрэхээс өмнө туннелийн тоолуур ба маршрутын хүснэгтээр баталгаажуулна уу. Хэрэв эх сурвалж төвөөс туннелээр хүрэх боломжгүй бол энэ жагсаалтын дараагийн юу ч үүнийг засахгүй.

Хамгаалагдсан хүрээ ба эх сурвалжийн хаяг таарахгүй бол энд зогсоно уу.

Шалгалт 2: салбар ямар эх сурвалжийг харахыг шийднэ үү

Салбар нь харилцагчийн анхны хаяг эсвэл хөрвүүлсэн хаягийг хардаг бөгөөд энэ сонголт буцах замыг тодорхойлно. Харилцагчийн хаягийг хадгалах нь эх сурвалжийн логт илүү цэвэр уншигдана, гэхдээ тэгвэл салбар нийтийн харилцагчдын хариуыг туннелээр буцааж илгээх ёстой; ердийн интернетийн анхдагч маршрут тэдгээрийг эсрэг чиглэлд илгээж, холболт нэг чиглэлд үхдэг. Эх сурвалжийг салбар туннелээр маршрутладаг хаяг руу хөрвүүлэх нь энэ шаардлагыг арилгана.

Хөрвүүлэлт нь эх сурвалж юуг логлож чадах, эх сурвалжид суурилсан дүрэм юутай таарахыг ч өөрчилдөг. Хэрэв аппликейшн хүсэлтийн ард байгаа хүнийг мэдэх шаардлагатай бол түүний байр нь баталгаажсан урвуу прокси, NAT-ийн шийдвэр биш.

Шалгалт 3: хөрвүүлэлтийг бодит интерфэйсүүдэд нийцүүлэн бичнэ үү

ASA нь хөрвүүлэлтийн дүрмийг дарааллаар үнэлж, аль нь таарсныг мэдээлдэг тул дүрэм доторх интерфэйсийн хос чимэглэл биш. Гаднаас дотогш замд зориулж бичсэн дүрэм нь таны таамагласнаас өөр орох, гарах хэсэгтэй урсгалтай таарахгүй.

Таны барьж буй зам дөрвөн хэсэгтэй бөгөөд дөрөв нь таарах ёстой:

Тэр хүснэгтийн хүрээг орлуулагч гэж үзээрэй. Гол нь хөрвүүлэлтийн дараах кортеж нь салбар туннелээр хүлээн авдаг хаяг байх, NAT-ийн төлөвт урвуу зураглал байх бөгөөд ингэснээр хариу гарцад сэргээгдэнэ.

Шалгалт 4: хандалтын дүрмийг нийтэлсэн портод хязгаарлана уу

Портыг нийтэл, хостыг биш. Эх сурвалжийг бүх үйлчилгээнд зөвшөөрдөг дүрэм нэг нийтэлсэн аппликейшныг эх сурвалжийн ажиллуулдаг бүх зүйл рүү хүрэх зам болгоно, санаатайгаар интернэтээс гадуур байлгасан удирдлагын интерфэйсийг оруулаад. Хөрвүүлсэн эх сурвалжаас эх сурвалж руу нийтэлсэн портыг зөвшөөрч, захиргааны үйлчилгээг зөвхөн-VPN замд нь үлдээгээрэй.

Үүний зэрэгцээ дүрмийн дарааллыг шалгана уу. Таны тодорхой дүрмийн дээр сууж буй өргөн зөвшөөрөл тодорхой дүрмийг үл үзэгдэх болгоно.

Шалгалт 5: нэг хүсэлт ба түүний хариуг мөрдөнө үү

Хөтчөөр бүү эхэл, учир нь хөтөч аль хэсэг бүтэлгүйтсэнийг нуудаг. Төв дэх урсгалыг мөрдөж, ямар нэг зүйлийг өөрчлөхөөс өмнө үр дүнг уншина уу.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Мөрдөлт нь таарсан хөрвүүлэлт, урсгалыг зөвшөөрсөн эсвэл татгалзсан хандалтын дүрэм, пакет туннель руу чиглүүлэгдсэн эсэхийг нэрлэнэ. Хэрэв урсгал таны хүлээгээгүй интерфэйсээс гарч байгааг харуулбал NAT дүрмийн интерфэйсийн хос буруу. Хэрэв татгалзал харуулбал дүрмийн дараалал буруу. Хэрэв туннельд хүрсэн ч эх сурвалж хэзээ ч хариу өгөхгүй бол асуудал салбарын буцах замд байна.

Дараа нь гаднаас нэг жинхэнэ хүсэлт илгээж, хариу нь мөнөөх туннелээр буцаж ирж буйг баталгаажуулна уу. Нийтэлсэн бичлэг, хөрвүүлэлт, хамгаалагдсан хаягийн хос, буцах маршрутыг нийтлэлийн бүртгэл болгон тэмдэглээрэй.