Zverejnenie internej služby cez VPN site-to-site na ASA

Zverejnenie služby, ktorá žije za VPN site-to-site, je jedna úloha s piatimi bodmi zlyhania a tie zlyhávajú v pevnom poradí. Tunel sa zdvihne, preklad sedí, pobočka odpovedá a odpoveď sa vracia tou istou cestou. Keď je čokoľvek z toho nesprávne, prehliadač ukazuje to isté: spojenie, ktoré visí alebo sa resetuje. Prejdite zoznam zhora nadol a zastavte sa pri prvej kontrole, ktorá zlyhá.

Kontrola 1: tunel chráni adresu zdroja

Začnite tunelom, ktorý už prepúšťa prevádzku, potom potvrďte, že adresa, ktorú chcete zverejniť, leží v chránenom rozsahu. Na ASA tento rozsah pochádza z krypto ACL alebo z trás VTI a musí pokrývať skutočnú adresu zdroja, nie podsieti, ktorú pobočka používa na správu. Selektor, ktorý zdroj minie, vám dá tunel, ktorý stojí, a tok, ktorý doň nikdy nevstúpi.

Potvrďte to počítadlami tunela a tabuľkou trás, skôr než sa dotknete prekladu. Ak zdroj nie je z hubu cez tunel dostupný, nič neskôr v tomto zozname to nespraví.

Zastavte sa tu, ak sa chránený rozsah a adresa zdroja nezhodujú.

Kontrola 2: rozhodnite, aký zdroj uvidí pobočka

Pobočka vidí buď pôvodnú adresu klienta, alebo preloženú, a táto voľba určuje cestu späť. Zachovanie adresy klienta sa v logoch zdroja číta čistejšie, ale potom musí pobočka posielať odpovede pre verejných klientov späť cez tunel; bežná internetová predvolená trasa ich pošle opačným smerom a spojenie zomrie v jednom smere. Preklad zdroja na adresu, ktorú pobočka už cez tunel smeruje, túto požiadavku odstráni.

Preklad tiež mení, čo zdroj môže logovať a s čím sa môžu zhodovať pravidlá založené na zdroji. Ak aplikácia potrebuje poznať človeka za požiadavkou, patrí to do autentizovanej reverznej proxy, nie do rozhodnutia NAT.

Kontrola 3: napíšte preklad proti skutočným rozhraniam

ASA vyhodnocuje pravidlá prekladu v poradí a hlási, ktoré sa zhodovalo, takže dvojica rozhraní v pravidle nie je kozmetická. Pravidlo napísané pre cestu zvonku dovnútra sa nezhoduje s tokom, ktorého vstup a výstup sa líšia od predpokladaných.

Cesta, ktorú staviate, má štyri úseky a všetky štyri musia sedieť:

Rozsahy v tej tabuľke berte ako zástupné hodnoty. Dôležité je, že tuple po preklade je adresa, ktorú pobočka cez tunel prijíma, a že reverzné mapovanie existuje v stave NAT, aby sa odpoveď na ceste von obnovila.

Kontrola 4: obmedzte prístupové pravidlo na zverejnený port

Zverejnite port, nie hostiteľa. Pravidlo, ktoré povolí zdroj na každej službe, premení jednu zverejnenú aplikáciu na cestu ku všetkému, čo zdroj spúšťa, vrátane rozhrania na správu, ktoré ste zámerne držali mimo internetu. Povoľte zverejnený port z preloženého zdroja k zdroju a administratívne služby nechajte na ich ceste iba cez VPN.

Skontrolujte zároveň poradie pravidiel. Široké povolenie nad vaším konkrétnym pravidlom robí konkrétne pravidlo neviditeľným.

Kontrola 5: vystopujte jednu požiadavku a jej odpoveď

Nezačínajte prehliadačom, pretože prehliadač skrýva, ktorý úsek zlyhal. Vystopujte tok na hube a prečítajte výsledok, skôr než čokoľvek zmeníte.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Stopa uvádza, ktorý preklad sa zhodoval, ktoré prístupové pravidlo tok povolilo alebo zamietlo a či bol paket smerovaný do tunela. Ak ukazuje, že tok vychádza z rozhrania, ktoré ste nečakali, dvojica rozhraní v pravidle NAT je nesprávna. Ak ukazuje zamietnutie, poradie pravidiel je nesprávne. Ak sa dostane do tunela, ale zdroj nikdy neodpovie, problém je v ceste späť pobočky.

Potom pošlite jednu skutočnú požiadavku zvonku a potvrďte, že odpoveď sa vracia tým istým tunelom. Zaznamenajte zverejnený záznam, preklad, chránenú dvojicu adries a cestu späť ako záznam o zverejnení.