Tippubblika servizz intern fuq VPN bejn sit u sit tal-ASA

Ħames kontrolli ordnati biex tesponi servizz intern permezz ta’ VPN bejn sit u sit tal-ASA: firxa protetta, mudell tas-sors, traduzzjoni, ambitu tal-port, mogħdija tar-risposta.

It-tlugħ ta’ servizz li jgħix wara VPN bejn sit u sit hija ħidma waħda b’ħames punti ta’ falliment, u dawn ifallu fi ordni fiss. Il-mina togħla, it-traduzzjoni taqbel, il-fergħa twieġeb, u r-risposta terġa’ lura mill-istess mogħdija. Meta wieħed minn dawn ikun ħażin, il-browser juri l-istess ħaġa: konnessjoni li tiddendel jew li tiġi rrisettjata. Aħdem il-lista minn fuq għal isfel u waqaf fl-ewwel kontroll li jfalli.

Kontroll 1: il-mina tipproteġi l-indirizz tas-sors

Ibda minn mina li diġà tgħaddi traffiku, imbagħad ikkonferma li l-indirizz li biħsiebek tippubblika jinsab fil-firxa protetta. Fuq ASA dik il-firxa tiġi mill-ACL tal-kriptaġġ jew mir-rotot ta’ VTI, u trid tkopri l-indirizz veru tas-sors, mhux is-sottorete li l-fergħa tuża għall-amministrazzjoni. Selettur li jonqos is-sors jagħtik mina li tkun ’il fuq u fluss li qatt ma jidħol fiha.

Ikkonferma dan bil-kontaturi tal-mina u bit-tabella tar-rotot qabel ma tmiss it-traduzzjoni. Jekk is-sors ma jkunx jintlaħaq mill-hub permezz tal-mina, xejn aktar ’l isfel f’din il-lista ma jista’ jsewwih.

Waqaf hawn jekk il-firxa protetta u l-indirizz tas-sors ma jaqblux.

Kontroll 2: iddeċiedi liema sors se tara l-fergħa

Il-fergħa tara jew l-indirizz oriġinali tal-klijent jew indirizz tradott, u dik l-għażla tiddetermina l-mogħdija tal-lura. Li tinżamm l-indirizz tal-klijent jinqara aktar nadif fil-logs tas-sors, imma mbagħad il-fergħa trid tibgħat ir-risposti għall-klijenti pubbliċi lura mill-mina; rotta default ordinarja tal-internet tibgħathom id-direzzjoni l-oħra u l-konnessjoni tmut f’direzzjoni waħda. Li s-sors jiġi tradott għal indirizz li l-fergħa diġà tgħaddih mill-mina jneħħi dik il-ħtieġa.

It-traduzzjoni tbiddel ukoll x’jista’ jirrekordja s-sors u ma’ xiex jistgħu jaqblu r-regoli bbażati fuq is-sors. Jekk l-applikazzjoni teħtieġ tkun taf il-persuna wara talba, dan il-post huwa prokura inversa awtentikata, mhux deċiżjoni NAT.

Kontroll 3: ikteb it-traduzzjoni skont l-interfaces veri

ASA tevalwa r-regoli tat-traduzzjoni fl-ordni u tirrapporta liema qabdet, għalhekk il-par ta’ interfaces fir-regola mhuwiex kosmetiku. Regola miktuba għal mogħdija minn barra għal ġewwa ma taqbadx ma’ fluss li d-dħul u l-ħruġ tiegħu jvarjaw minn dawk li assumt.

Il-mogħdija li qed tibni għandha erba’ partijiet, u erbgħathom iridu jaqblu:

LegSourceDestination
Request from the internet198.51.100.25203.0.113.20:443
After destination translation198.51.100.2510.60.20.10:443
After source translation toward the tunnel10.10.250.1010.60.20.10:443
Branch reply10.60.20.1010.10.250.10
Restored reply to the client203.0.113.20198.51.100.25

Qis il-firxiet f’dik it-tabella bħala sostituti. Dak li jgħodd huwa li t-tuple wara t-traduzzjoni hija indirizz li l-fergħa taċċetta mill-mina, u li l-mapping invers jeżisti fl-istat tan-NAT sabiex ir-risposta tiġi restawrata fil-ħruġ.

Kontroll 4: illimita r-regola tal-aċċess għall-port ippubblikat

Ippubblika l-port, mhux il-host. Regola li tippermetti s-sors fuq kull servizz tibdel applikazzjoni ppubblikata waħda f’mogħdija lejn kull ma jmexxi s-sors, inkluż l-interface tal-amministrazzjoni li xjentement żammejt barra mill-internet. Ippermetti l-port ippubblikat mis-sors tradott għas-sors, u ħalli s-servizzi amministrattivi fil-mogħdija tagħhom biss permezz tal-VPN.

Iċċekkja l-ordni tar-regoli fl-istess ħin. Permess wiesa’ li jpoġġi fuq ir-regola speċifika tiegħek jagħmel ir-regola speċifika inviżibbli.

Kontroll 5: segwi talba waħda u r-risposta tagħha

Tibdiex bi browser, għax browser jaħbi liema parti falliet. Segwi l-fluss fuq il-hub u aqra r-riżultat qabel ma tbiddel xi ħaġa.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

It-traċċa ssemmi t-traduzzjoni li qabdet, ir-regola tal-aċċess li ppermettiet jew ċaħdet il-fluss, u jekk il-pakkett ġiex mgħoddi lejn il-mina. Jekk turi l-fluss ħiereġ minn interface li ma stennejtx, il-par ta’ interfaces fir-regola NAT huwa ħażin. Jekk turi ċaħda, l-ordni tar-regoli hija ħażina. Jekk jasal sal-mina imma s-sors qatt ma jwieġeb, il-problema hija l-mogħdija tal-lura tal-fergħa.

Imbagħad ibgħat talba waħda vera minn barra u kkonferma li r-risposta terġa’ lura mill-istess mina. Irreġistra l-entrata ppubblikata, it-traduzzjoni, il-par ta’ indirizzi protetti u l-mogħdija tal-lura bħala r-rekord tal-pubblikazzjoni.

Artikli relatati