Menerbitkan perkhidmatan dalaman melalui VPN tapak-ke-tapak ASA

Menerbitkan perkhidmatan yang tinggal di belakang VPN tapak-ke-tapak ialah satu tugas dengan lima titik kegagalan, dan semuanya gagal dalam urutan tetap. Terowong naik, terjemahan sepadan, cawangan menjawab, dan balasan kembali melalui laluan yang sama. Apabila mana-mana satu salah, pelayar menunjukkan perkara yang sama: sambungan yang tergantung atau ditetapkan semula. Kerjakan senarai dari atas ke bawah dan berhenti pada pemeriksaan pertama yang gagal.

Pemeriksaan 1: terowong melindungi alamat asal

Mulakan dengan terowong yang sudah menyampaikan trafik, kemudian sahkan bahawa alamat yang anda rancang untuk terbitkan berada dalam julat terlindung. Pada ASA julat itu datang daripada ACL kripto atau daripada laluan VTI, dan ia mesti meliputi alamat sebenar asal, bukan subnet yang digunakan cawangan untuk pengurusan. Pemilih yang terlepas asal memberi anda terowong yang naik dan aliran yang tidak pernah masuk ke dalamnya.

Sahkan dengan pembilang terowong dan jadual laluan sebelum anda menyentuh terjemahan. Jika asal tidak dapat dicapai dari hab melalui terowong, tiada apa-apa kemudian dalam senarai ini boleh membaikinya.

Berhenti di sini jika julat terlindung dan alamat asal tidak sepadan.

Pemeriksaan 2: tentukan sumber mana yang akan dilihat cawangan

Cawangan melihat sama ada alamat klien asal atau alamat yang diterjemah, dan pilihan itu menentukan laluan balasan. Mengekalkan alamat klien lebih bersih dibaca dalam log asal, tetapi cawangan kemudian mesti menghantar balasan untuk klien awam kembali melalui terowong; laluan lalai internet biasa menghantarnya ke arah lain dan sambungan mati dalam satu arah. Menterjemah sumber ke alamat yang sudah dilalui cawangan melalui terowong menghapuskan keperluan itu.

Terjemahan juga mengubah apa yang boleh direkod oleh asal dan apa yang boleh dipadankan oleh peraturan berasaskan sumber. Jika aplikasi perlu mengetahui orang di sebalik permintaan, tempatnya ialah proksi songsang yang disahkan, bukan keputusan NAT.

Pemeriksaan 3: tulis terjemahan terhadap antara muka sebenar

ASA menilai peraturan terjemahan mengikut urutan dan melaporkan yang mana sepadan, jadi pasangan antara muka dalam peraturan bukan kosmetik. Peraturan yang ditulis untuk laluan luar-ke-dalam tidak akan sepadan dengan aliran yang masuk dan keluarnya berbeza daripada yang anda andaikan.

Laluan yang anda bina mempunyai empat bahagian, dan keempat-empatnya mesti sepadan:

Anggap julat dalam jadual itu sebagai pemegang tempat. Yang penting ialah tuple selepas terjemahan ialah alamat yang diterima cawangan melalui terowong, dan pemetaan songsang wujud dalam keadaan NAT supaya balasan dipulihkan semasa keluar.

Pemeriksaan 4: hadkan peraturan akses kepada port yang diterbitkan

Terbitkan port, bukan hos. Peraturan yang membenarkan asal pada setiap perkhidmatan menukar satu aplikasi terbitan menjadi laluan ke semua yang dijalankan asal, termasuk antara muka pengurusan yang sengaja anda jauhkan dari internet. Benarkan port terbitan dari sumber terjemahan ke asal, dan biarkan perkhidmatan pentadbiran pada laluan hanya-VPN mereka.

Semak urutan peraturan pada masa yang sama. Kebenaran luas yang duduk di atas peraturan khusus anda menjadikan peraturan khusus itu tidak kelihatan.

Pemeriksaan 5: jejaki satu permintaan dan balasannya

Jangan mula dengan pelayar, kerana pelayar menyembunyikan bahagian mana yang gagal. Jejaki aliran pada hab dan baca hasilnya sebelum anda mengubah apa-apa.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Jejak itu menamakan terjemahan yang sepadan, peraturan akses yang membenarkan atau menolak aliran, dan sama ada paket itu dilalukan ke terowong. Jika ia menunjukkan aliran keluar dari antara muka yang anda tidak jangkakan, pasangan antara muka dalam peraturan NAT adalah salah. Jika ia menunjukkan penolakan, urutan peraturan adalah salah. Jika ia sampai ke terowong tetapi asal tidak pernah menjawab, masalahnya ialah laluan balasan cawangan.

Kemudian hantar satu permintaan sebenar dari luar dan sahkan balasannya kembali melalui terowong yang sama. Catat entri terbitan, terjemahan, pasangan alamat terlindung dan laluan balasan sebagai rekod penerbitan.