Publikimi i një shërbimi të brendshëm përmes një VPN nga sajti në sajt me ASA

Publikimi i një shërbimi që jeton pas një VPN nga sajti në sajt është një detyrë me pesë pika dështimi, dhe ato dështojnë në një rend fiks. Tuneli ngrihet, përkthimi përputhet, dega përgjigjet dhe përgjigja kthehet në të njëjtën rrugë. Kur ndonjëri prej tyre është i gabuar, shfletuesi tregon të njëjtën gjë: një lidhje që varet ose rivendoset. Punoni listën nga lart poshtë dhe ndaloni në kontrollin e parë që dështon.

Kontrolli 1: tuneli mbron adresën e burimit

Filloni me një tunel që tashmë kalon trafik, pastaj konfirmoni që adresa që planifikoni të publikoni ndodhet brenda diapazonit të mbrojtur. Në një ASA ai diapazon vjen nga ACL-ja e kriptimit ose nga rrugët e një VTI, dhe duhet të mbulojë adresën reale të burimit, jo nënrrjetin që dega përdor për administrim. Një përzgjedhës që e humb burimin ju jep një tunel që qëndron dhe një rrjedhë që nuk hyn kurrë në të.

Konfirmojeni me numëruesit e tunelit dhe tabelën e rrugëve përpara se të prekni përkthimin. Nëse burimi nuk është i arritshëm nga hub-i përmes tunelit, asgjë më tej në këtë listë nuk mund ta rregullojë.

Ndaloni këtu nëse diapazoni i mbrojtur dhe adresa e burimit nuk përputhen.

Kontrolli 2: vendosni cilin burim do të shohë dega

Dega sheh ose adresën origjinale të klientit ose një të përkthyer, dhe kjo zgjedhje përcakton rrugën e kthimit. Ruajtja e adresës së klientit lexohet më pastër në regjistrat e burimit, por atëherë dega duhet t’i dërgojë përgjigjet për klientët publikë përsëri përmes tunelit; një rrugë e parazgjedhur normale interneti i dërgon ato në anën tjetër dhe lidhja vdes në një drejtim. Përkthimi i burimit në një adresë që dega tashmë e drejton përmes tunelit e heq atë kërkesë.

Përkthimi ndryshon gjithashtu çfarë burimi mund të regjistrojë dhe me çfarë mund të përputhen rregullat e bazuara në burim. Nëse aplikacioni duhet të njohë personin pas një kërkese, vendi i tij është në një proxy të kundërt të autentikuar, jo në një vendim NAT.

Kontrolli 3: shkruani përkthimin sipas ndërfaqeve reale

Një ASA i vlerëson rregullat e përkthimit sipas radhës dhe raporton cila përputhej, prandaj çifti i ndërfaqeve brenda rregullit nuk është kozmetik. Një rregull i shkruar për një rrugë nga jashtë në brendësi nuk do të përputhet me një rrjedhë, hyrja dhe dalja e së cilës ndryshojnë nga ato që supozuat.

Rruga që po ndërtoni ka katër segmente, dhe të katërt duhet të pajtohen:

Trajtoni diapazonet në atë tabelë si zëvendësues. E rëndësishme është që tuple-i pas përkthimit të jetë një adresë që dega e pranon përmes tunelit, dhe që hartëzimi i kundërt të ekzistojë në gjendjen e NAT, që përgjigja të rikthehet në dalje.

Kontrolli 4: kufizoni rregullin e aksesit në portën e publikuar

Publikoni portën, jo hostin. Një rregull që lejon burimin në çdo shërbim e shndërron një aplikacion të publikuar në një rrugë drejt gjithçkaje që ekzekuton burimi, duke përfshirë ndërfaqen e administrimit që e mbanit qëllimisht jashtë internetit. Lejoni portën e publikuar nga burimi i përkthyer te burimi, dhe lërini shërbimet administrative në rrugën e tyre vetëm përmes VPN.

Kontrolloni rendin e rregullave në të njëjtën kohë. Një leje e gjerë mbi rregullin tuaj specifik e bën rregullin specifik të padukshëm.

Kontrolli 5: gjurmoni një kërkesë dhe përgjigjen e saj

Mos filloni me një shfletues, sepse një shfletues fsheh cili segment dështoi. Gjurmoni rrjedhën në hub dhe lexoni rezultatin përpara se të ndryshoni çdo gjë.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Gjurmimi emërton përkthimin që përputhej, rregullin e aksesit që lejoi ose refuzoi rrjedhën, dhe nëse paketa u drejtua në tunel. Nëse tregon rrjedhën duke dalë nga një ndërfaqe që nuk e prisnit, çifti i ndërfaqeve në rregullin NAT është i gabuar. Nëse tregon një refuzim, rendi i rregullave është i gabuar. Nëse arrin në tunel por burimi nuk përgjigjet kurrë, problemi është rruga e kthimit e degës.

Pastaj dërgoni një kërkesë reale nga jashtë dhe konfirmoni që përgjigja kthehet përmes të njëjtit tunel. Regjistroni hyrjen e publikuar, përkthimin, çiftin e adresave të mbrojtura dhe rrugën e kthimit si regjistrin e publikimit.