ASA අඩවියේ සිට අඩවියට VPN හරහා අභ්‍යන්තර සේවාවක් ප්‍රකාශයට පත් කිරීම
ASA අඩවියේ සිට අඩවියට VPN හරහා අභ්‍යන්තර සේවාවක් නිරාවරණය කිරීම සඳහා පිළිවෙලින් පරීක්ෂණ පහක්: ආරක්ෂිත පරාසය, මූලාශ්‍ර ආකෘතිය, පරිවර්තනය, වරාය පරාසය, ප්‍රතිචාර මාර්ගය.
අඩවියේ සිට අඩවියට VPN එකක පිටුපස ජීවත් වන සේවාවක් ප්‍රකාශයට පත් කිරීම අසාර්ථකතා ලක්ෂ්‍ය පහක් සහිත එක් කාර්යයක් වන අතර ඒවා නිශ්චිත අනුපිළිවෙලකින් අසාර්ථක වේ. ටනලය ඉහළ එයි, පරිවර්තනය ගැළපේ, ශාඛාව පිළිතුරු දෙයි, සහ ප්‍රතිචාරය එම මාර්ගයෙන්ම ආපසු එයි. ඒවායින් එකක්වත් වැරදි නම් බ්‍රව්සරය එකම දේ පෙන්වයි: එල්ලී යන හෝ නැවත සකසන සම්බන්ධතාවයක්. ලැයිස්තුව ඉහළ සිට පහළට කර අසාර්ථක වන පළමු පරීක්ෂණයේ නවතින්න.
පරීක්ෂණය 1: ටනලය මූලාශ්‍ර ලිපිනය ආරක්ෂා කරයි
දැනටමත් රහස්‍ය ගමන් කරන ටනලයකින් ආරම්භ කර, පසුව ඔබ ප්‍රකාශයට පත් කිරීමට සැලසුම් කරන ලිපිනය ආරක්ෂිත පරාසය තුළ ඇති බව තහවුරු කරන්න. ASA එකක එම පරාසය ක්‍රිප්ටෝ ACL එකෙන් හෝ VTI එකක මාර්ගවලින් පැමිණේ, සහ එය මූලාශ්‍රයේ සැබෑ ලිපිනය ආවරණය කළ යුතුය, ශාඛාව කළමනාකරණයට භාවිතා කරන උපජාලය නොවේ. මූලාශ්‍රය මගහරින තේරීම්කරු ඔබට ඉහළ ඇති ටනලයක් සහ එතුළට කිසිදා නොයන ගලායාමක් ලබා දෙයි.
පරිවර්තනයට අත ගැසීමට පෙර ටනල කවුන්ටර සහ මාර්ග වගුව සමඟ මෙය තහවුරු කරන්න. හබයේ සිට ටනලය හරහා මූලාශ්‍රයට ළඟා විය නොහැකි නම්, මෙම ලැයිස්තුවේ පසුව කිසිවකට එය නිවැරදි කළ නොහැක.
ආරක්ෂිත පරාසය සහ මූලාශ්‍ර ලිපිනය නොගැළපෙන්නේ නම් මෙහි නවතින්න.
පරීක්ෂණය 2: ශාඛාව දකින මූලාශ්‍රය තීරණය කරන්න
ශාඛාව සේවාදායක ග්‍රාහකයාගේ මුල් ලිපිනය හෝ පරිවර්තිත ලිපිනය දකියි, සහ එම තේරීම ආපසු මාර්ගය තීරණය කරයි. ග්‍රාහක ලිපිනය රඳවා ගැනීම මූලාශ්‍රයේ ලොගවල වඩා පිරිසිදු ලෙස කියැවේ, නමුත් එවිට ශාඛාව පොදු ග්‍රාහකයන්ට පිළිතුරු ටනලය හරහා ආපසු යැවිය යුතුය; සාමාන්‍ය අන්තර්ජාල පෙරනිමි මාර්ගය ඒවා අනෙක් පැත්තට යවයි සහ සම්බන්ධතාවය එක් දිශාවකින් මිය යයි. මූලාශ්‍රය ශාඛාව දැනටමත් ටනලය හරහා මාර්ගගත කරන ලිපිනයකට පරිවර්තනය කිරීම එම අවශ්‍යතාවය ඉවත් කරයි.
පරිවර්තනය මූලාශ්‍රයට ලොග් කළ හැකි දේ සහ මූලාශ්‍ර පාදක නීති ගැළපිය හැකි දේ ද වෙනස් කරයි. යෙදුමට ඉල්ලීමක පිටුපස සිටින පුද්ගලයා දැනගැනීමට අවශ්‍ය නම්, එහි ස්ථානය සත්‍යාපිත ප්‍රතිලෝම ප්‍රොක්සියකි, NAT තීරණයක් නොවේ.
පරීක්ෂණය 3: සැබෑ අතුරුමුහුණත්වලට එරෙහිව පරිවර්තනය ලියන්න
ASA පරිවර්තන නීති අනුපිළිවෙලින් ඇගයීමට ලක් කර කුමක් ගැළපුණුද යන්න වාර්තා කරයි, එබැවින් නීතිය තුළ ඇති අතුරුමුහුණත් යුගලය අලංකාරයක් නොවේ. පිටත සිට ඇතුළට මාර්ගයක් සඳහා ලියන ලද නීතියක්, ඔබ උපකල්පනය කළ පිවිසුම සහ පිටවීමට වඩා වෙනස් වන ගලායාමක් සමඟ නොගැළපේ.
ඔබ ගොඩනඟන මාර්ගයට කොටස් හතරක් ඇත, සහ හතරම එකඟ විය යුතුය:
| Leg | Source | Destination |
|---|---|---|
| Request from the internet | 198.51.100.25 | 203.0.113.20:443 |
| After destination translation | 198.51.100.25 | 10.60.20.10:443 |
| After source translation toward the tunnel | 10.10.250.10 | 10.60.20.10:443 |
| Branch reply | 10.60.20.10 | 10.10.250.10 |
| Restored reply to the client | 203.0.113.20 | 198.51.100.25 |
එම වගුවේ පරාස ස්ථාන දරන්නන් ලෙස සලකන්න. වැදගත් වන්නේ පරිවර්තනයෙන් පසු ටියුපලය ශාඛාව ටනලය හරහා පිළිගන්නා ලිපිනයක් වීම, සහ NAT තත්ත්වයේ ප්‍රතිලෝම සිතියම්කරණය පැවතීම නිසා පිටවන විට ප්‍රතිචාරය ප්‍රතිසාධනය වීමයි.
පරීක්ෂණය 4: ප්‍රවේශ නීතිය ප්‍රකාශිත වරායට සීමා කරන්න
වරාය ප්‍රකාශයට පත් කරන්න, සත්කාරකය නොවේ. සෑම සේවාවකම මූලාශ්‍රයට ඉඩ දෙන නීතියක් එක් ප්‍රකාශිත යෙදුමක් මූලාශ්‍රය ධාවනය කරන සියල්ලට මාර්ගයක් බවට පත් කරයි, ඔබ හිතාමතාම අන්තර්ජාලයෙන් පිටත තැබූ කළමනාකරණ අතුරුමුහුණත ඇතුළුව. පරිවර්තිත මූලාශ්‍රයේ සිට මූලාශ්‍රය දක්වා ප්‍රකාශිත වරායට ඉඩ දෙන්න, සහ පරිපාලන සේවා ඒවායේ VPN පමණක් මාර්ගයේ තබන්න.
එම අවස්ථාවේම නීති අනුපිළිවෙල පරීක්ෂා කරන්න. ඔබේ නිශ්චිත නීතියට ඉහළින් වාඩි වී සිටින පුළුල් අවසරය නිශ්චිත නීතිය අදෘශ්‍යමාන කරයි.
පරීක්ෂණය 5: එක් ඉල්ලීමක් සහ එහි ප්‍රතිචාරය හඹා යන්න
බ්‍රව්සරයකින් ආරම්භ නොකරන්න, මන්ද බ්‍රව්සරය කුමන කොටස අසාර්ථක වුණාද යන්න සඟවයි. හබයේ ගලායාම හඹා ගොස් කිසිවක් වෙනස් කිරීමට පෙර ප්‍රතිඵලය කියවන්න.
packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2lහඹා යාම ගැළපුණු පරිවර්තනය, ගලායාමට ඉඩ දුන් හෝ ප්‍රතික්ෂේප කළ ප්‍රවේශ නීතිය, සහ පැකට්ටුව ටනලයට මාර්ගගත වුණාද යන්න නම් කරයි. ගලායාම ඔබ බලාපොරොත්තු නොවූ අතුරුමුහුණතකින් පිටවන බව පෙන්වයි නම්, NAT නීතියේ අතුරුමුහුණත් යුගලය වැරදිය. ප්‍රතික්ෂේපයක් පෙන්වයි නම්, නීති අනුපිළිවෙල වැරදිය. එය ටනලයට ළඟා වුවත් මූලාශ්‍රය කිසිදා පිළිතුරු නොදෙන්නේ නම්, ගැටලුව ශාඛාවේ ආපසු මාර්ගයයි.
පසුව පිටතින් එක් සැබෑ ඉල්ලීමක් යවා ප්‍රතිචාරය එම ටනලයෙන්ම ආපසු එන බව තහවුරු කරන්න. ප්‍රකාශිත සටහන, පරිවර්තනය, ආරක්ෂිත ලිපින යුගලය සහ ආපසු මාර්ගය ප්‍රකාශන වාර්තාව ලෙස සටහන් කරන්න.