Objavljanje notranje storitve prek VPN od mesta do mesta na ASA

Objavljanje storitve, ki živi za VPN od mesta do mesta, je ena naloga s petimi točkami odpovedi, in te odpovedo v fiksnem vrstnem redu. Tunel se dvigne, prevod se ujema, podružnica odgovori in odgovor se vrne po isti poti. Ko je karkoli od tega napačno, brskalnik pokaže isto: povezavo, ki visi ali se ponastavi. Pojdite po seznamu od zgoraj navzdol in ustavite se pri prvem preverjanju, ki odpove.

Preverjanje 1: tunel ščiti naslov vira

Začnite s tunelom, ki že prepušča promet, nato potrdite, da naslov, ki ga nameravate objaviti, leži znotraj zaščitenega območja. Na ASA to območje izhaja iz kripto ACL ali iz poti VTI, in mora pokrivati pravi naslov vira, ne podomrežja, ki ga podružnica uporablja za upravljanje. Izbirnik, ki zgreši vir, vam da tunel, ki stoji, in tok, ki vanj nikoli ne vstopi.

Potrdite s števci tunela in tabelo poti, preden se dotaknete prevoda. Če vir ni dosegljiv s središča prek tunela, nič kasneje na tem seznamu tega ne more popraviti.

Ustavite se tukaj, če se zaščiteno območje in naslov vira ne ujemata.

Preverjanje 2: odločite, kateri vir bo videla podružnica

Podružnica vidi bodisi izvirni naslov odjemalca bodisi prevedenega, in ta izbira določi povratno pot. Ohranjanje naslova odjemalca se v dnevnikih vira bere čisteje, vendar mora potem podružnica odgovore za javne odjemalce poslati nazaj skozi tunel; običajna privzeta internetna pot jih pošlje v drugo smer in povezava umre v eno smer. Prevod vira v naslov, ki ga podružnica že usmerja skozi tunel, to zahtevo odpravi.

Prevod spremeni tudi, kaj lahko vir beleži in s čim se lahko ujemajo pravila na podlagi vira. Če mora aplikacija poznati osebo za zahtevo, to sodi v overjeno obratno posredniško storitev, ne v odločitev NAT.

Preverjanje 3: napišite prevod glede na resnične vmesnike

ASA ocenjuje pravila prevoda po vrsti in poroča, katero se je ujemalo, zato par vmesnikov v pravilu ni kozmetičen. Pravilo, napisano za pot od zunaj navznoter, se ne bo ujemalo s tokom, katerega vhod in izhod se razlikujeta od predvidenih.

Pot, ki jo gradite, ima štiri odseke in vsi štirje se morajo ujemati:

Območja v tej tabeli obravnavajte kot nadomestne vrednosti. Pomembno je, da je niz po prevodu naslov, ki ga podružnica sprejme skozi tunel, in da obratno preslikavo obstaja v stanju NAT, da se odgovor ob izstopu obnovi.

Preverjanje 4: omejite pravilo dostopa na objavljena vrata

Objavite vrata, ne gostitelja. Pravilo, ki dovoljuje vir na vsaki storitvi, spremeni eno objavljeno aplikacijo v pot do vsega, kar vir izvaja, vključno z vmesnikom za upravljanje, ki ste ga namenoma držali zunaj interneta. Dovolite objavljena vrata od prevedenega vira do vira, administrativne storitve pa pustite na njihovi poti samo skozi VPN.

Hkrati preverite vrstni red pravil. Široko dovoljenje nad vašim konkretnim pravilom naredi konkretno pravilo nevidno.

Preverjanje 5: izsledite eno zahtevo in njen odgovor

Ne začnite z brskalnikom, ker brskalnik skrije, kateri odsek je odpovedal. Izsledite tok na središču in preberite rezultat, preden karkoli spremenite.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Sled poimenuje ujemajoči se prevod, pravilo dostopa, ki je tok dovolilo ali zavrnilo, in ali je bil paket usmerjen v tunel. Če pokaže, da tok zapušča vmesnik, ki ga niste pričakovali, je par vmesnikov v pravilu NAT napačen. Če pokaže zavrnitev, je vrstni red pravil napačen. Če pride do tunela, a vir nikoli ne odgovori, je težava povratna pot podružnice.

Nato pošljite eno resnično zahtevo od zunaj in potrdite, da se odgovor vrne po istem tunelu. Zabeležite objavljeni vnos, prevod, zaščiteni par naslovov in povratno pot kot zapis o objavi.