ASA సైట్-టు-సైట్ VPN ద్వారా అంతర్గత సేవను ప్రచురించడం
ASA సైట్-టు-సైట్ VPN ద్వారా అంతర్గత సేవను బహిర్గతం చేయడానికి ఐదు క్రమబద్ధ తనిఖీలు: రక్షిత పరిధి, మూల నమూనా, అనువాదం, పోర్ట్ పరిధి, ప్రతిస్పందన మార్గం.
సైట్-టు-సైట్ VPN వెనుక నివసించే సేవను ప్రచురించడం ఐదు వైఫల్య బిందువులతో కూడిన ఒక పని, మరియు అవి నిర్ణీత క్రమంలో విఫలమవుతాయి. టన్నెల్ పైకి వస్తుంది, అనువాదం సరిపోతుంది, శాఖ ప్రతిస్పందిస్తుంది, మరియు ప్రతిస్పందన అదే మార్గంలో తిరిగి వస్తుంది. వాటిలో ఏదైనా తప్పు అయితే బ్రౌజర్ అదే విషయాన్ని చూపిస్తుంది: వేలాడుతున్న లేదా రీసెట్ అయ్యే కనెక్షన్. జాబితాను పై నుండి క్రిందకు చేయండి మరియు విఫలమయ్యే మొదటి తనిఖీ వద్ద ఆగండి.
తనిఖీ 1: టన్నెల్ మూల చిరునామాను రక్షిస్తుంది
ఇప్పటికే ట్రాఫిక్ పంపుతున్న టన్నెల్తో ప్రారంభించి, ఆపై ప్రచురించాలని ప్రణాళిక చేస్తున్న చిరునామా రక్షిత పరిధిలో ఉందని నిర్ధారించండి. ASAలో ఆ పరిధి క్రిప్టో ACL నుండి లేదా VTI మార్గాల నుండి వస్తుంది, మరియు అది మూలం యొక్క నిజమైన చిరునామాను కవర్ చేయాలి, శాఖ నిర్వహణ కోసం ఉపయోగించే సబ్నెట్ను కాదు. మూలాన్ని తప్పించే ఎంపికదారు మీకు పైన ఉన్న టన్నెల్ మరియు దానిలోకి ఎప్పుడూ ప్రవేశించని ప్రవాహాన్ని ఇస్తుంది.
అనువాదాన్ని తాకే ముందు టన్నెల్ కౌంటర్లు మరియు మార్గ పట్టికతో దీన్ని నిర్ధారించండి. హబ్ నుండి టన్నెల్ ద్వారా మూలాన్ని చేరుకోలేకపోతే, ఈ జాబితాలో తరువాత ఏదీ దాన్ని సరిచేయలేదు.
రక్షిత పరిధి మరియు మూల చిరునామా సరిపోకపోతే ఇక్కడ ఆగండి.
తనిఖీ 2: శాఖ ఏ మూలాన్ని చూస్తుందో నిర్ణయించండి
శాఖ క్లయింట్ యొక్క అసలు చిరునామాను లేదా అనువదించిన దాన్ని చూస్తుంది, మరియు ఆ ఎంపిక తిరిగి వచ్చే మార్గాన్ని నిర్ణయిస్తుంది. క్లయింట్ చిరునామాను ఉంచడం మూలం యొక్క లాగ్లలో స్పష్టంగా చదవబడుతుంది, కానీ అప్పుడు శాఖ ప్రజా క్లయింట్ల కోసం ప్రతిస్పందనలను టన్నెల్ ద్వారా తిరిగి పంపాలి; సాధారణ ఇంటర్నెట్ డిఫాల్ట్ వాటిని ఎదురు దిశకు పంపుతుంది మరియు కనెక్షన్ ఒక దిశలో చనిపోతుంది. మూలాన్ని శాఖ ఇప్పటికే టన్నెల్ ద్వారా మార్గనిర్దేశం చేసే చిరునామాకు అనువదించడం ఆ షరతును తొలగిస్తుంది.
అనువాదం మూలం ఏమి లాగ్ చేయగలదు మరియు మూల ఆధారిత నియమాలు ఏమితో సరిపోతాయి అనేది కూడా మారుస్తుంది. అప్లికేషన్ అభ్యర్థన వెనుక ఉన్న వ్యక్తిని తెలుసుకోవాల్సి ఉంటే, దాని స్థానం ప్రామాణీకరించిన రివర్స్ ప్రాక్సీ, NAT నిర్ణయం కాదు.
తనిఖీ 3: నిజమైన ఇంటర్ఫేస్ల ఆధారంగా అనువాదాన్ని రాయండి
ASA అనువాద నియమాలను క్రమంలో అంచనా వేస్తుంది మరియు ఏది సరిపోయిందో నివేదిస్తుంది, కాబట్టి నియమంలోని ఇంటర్ఫేస్ జంట అలంకారం కాదు. బయటి నుండి లోపలికి మార్గం కోసం రాసిన నియమం, మీరు ఊహించిన ప్రవేశం మరియు నిష్క్రమణకు భిన్నంగా ఉన్న ప్రవాహానికి సరిపోదు.
మీరు నిర్మిస్తున్న మార్గానికి నాలుగు భాగాలు ఉన్నాయి, నాలుగూ సరిపోవాలి:
| Leg | Source | Destination |
|---|---|---|
| Request from the internet | 198.51.100.25 | 203.0.113.20:443 |
| After destination translation | 198.51.100.25 | 10.60.20.10:443 |
| After source translation toward the tunnel | 10.10.250.10 | 10.60.20.10:443 |
| Branch reply | 10.60.20.10 | 10.10.250.10 |
| Restored reply to the client | 203.0.113.20 | 198.51.100.25 |
ఆ పట్టికలోని పరిధులను ప్లేస్హోల్డర్లుగా పరిగణించండి. ముఖ్యమైనది, అనువాదం తర్వాత ట్యూపుల్ శాఖ టన్నెల్ ద్వారా అంగీకరించే చిరునామా కావడం, మరియు NAT స్థితిలో విలోమ మ్యాపింగ్ ఉండడం, తద్వారా బయటకు వెళ్లేటప్పుడు ప్రతిస్పందన పునరుద్ధరించబడుతుంది.
తనిఖీ 4: యాక్సెస్ నియమాన్ని ప్రచురిత పోర్టుకు పరిమితం చేయండి
పోర్టును ప్రచురించండి, హోస్ట్ కాదు. ప్రతి సేవలో మూలానికి అనుమతి ఇచ్చే నియమం ఒక ప్రచురిత అప్లికేషన్ను మూలం నడిపే ప్రతిదానికీ మార్గంగా మారుస్తుంది, ఉద్దేశపూర్వకంగా ఇంటర్నెట్ వెలుపల ఉంచిన నిర్వహణ ఇంటర్ఫేస్తో సహా. అనువదించిన మూలం నుండి మూలానికి ప్రచురిత పోర్టుకు అనుమతి ఇవ్వండి, మరియు పరిపాలనా సేవలను వాటి VPN మాత్రమే మార్గంలో ఉంచండి.
అదే సమయంలో నియమాల క్రమాన్ని తనిఖీ చేయండి. మీ నిర్దిష్ట నియమం పైన కూర్చున్న విస్తృత అనుమతి నిర్దిష్ట నియమాన్ని అదృశ్యం చేస్తుంది.
తనిఖీ 5: ఒక అభ్యర్థన మరియు దాని ప్రతిస్పందనను ట్రేస్ చేయండి
బ్రౌజర్తో ప్రారంభించవద్దు, ఎందుకంటే ఏ భాగం విఫలమైందో బ్రౌజర్ దాస్తుంది. హబ్లో ప్రవాహాన్ని ట్రేస్ చేసి ఏదైనా మార్చే ముందు ఫలితాన్ని చదవండి.
packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2lట్రేస్ సరిపోయిన అనువాదాన్ని, ప్రవాహానికి అనుమతి ఇచ్చిన లేదా తిరస్కరించిన యాక్సెస్ నియమాన్ని, మరియు ప్యాకెట్ టన్నెల్కు మార్గనిర్దేశం చేయబడిందో లేదో తెలియజేస్తుంది. మీరు ఊహించని ఇంటర్ఫేస్ నుండి ప్రవాహం బయటకు వెళ్తున్నట్లు చూపిస్తే, NAT నియమంలోని ఇంటర్ఫేస్ జంట తప్పు. తిరస్కరణ చూపిస్తే, నియమాల క్రమం తప్పు. టన్నెల్ చేరి కూడా మూలం ఎప్పుడూ ప్రతిస్పందించకపోతే, సమస్య శాఖ తిరిగి వచ్చే మార్గం.
తర్వాత బయటి నుండి ఒక నిజమైన అభ్యర్థనను పంపి, ప్రతిస్పందన అదే టన్నెల్ ద్వారా తిరిగి వస్తుందని నిర్ధారించండి. ప్రచురిత నమోదు, అనువాదం, రక్షిత చిరునామా జంట మరియు తిరిగి వచ్చే మార్గాన్ని ప్రచురణ రికార్డుగా నమోదు చేయండి.