การเผยแพร่บริการภายในผ่าน VPN แบบไซต์ทูไซต์ของ ASA

การเผยแพร่บริการที่อยู่หลัง VPN แบบไซต์ทูไซต์เป็นงานเดียวที่มีจุดล้มเหลวห้าจุด และจุดเหล่านี้ล้มเหลวตามลำดับที่แน่นอน อุโมงค์ขึ้น การแปลตรงกัน สาขาตอบกลับ และคำตอบวิ่งกลับมาทางเดิม เมื่อจุดใดจุดหนึ่งผิด เบราว์เซอร์จะแสดงผลเหมือนกัน คือการเชื่อมต่อที่ค้างหรือถูกตัดกลางคัน จงไล่รายการจากบนลงล่างและหยุดที่การตรวจสอบแรกที่ล้มเหลว

การตรวจสอบ 1 อุโมงค์ป้องกันที่อยู่ต้นทาง

เริ่มจากอุโมงค์ที่รับส่งข้อมูลได้อยู่แล้ว จากนั้นยืนยันว่าที่อยู่ที่คุณจะเผยแพร่อยู่ในช่วงที่ป้องกันไว้ บน ASA ช่วงนั้นมาจาก ACL การเข้ารหัสหรือจากเส้นทางของ VTI และต้องครอบคลุมที่อยู่จริงของต้นทาง ไม่ใช่ซับเน็ตที่สาขาใช้สำหรับการจัดการ ตัวเลือกที่พลาดต้นทางจะทำให้คุณได้อุโมงค์ที่ขึ้นแล้วแต่ทราฟฟิกไม่เคยเข้าไป

ยืนยันด้วยตัวนับของอุโมงค์และตารางเส้นทางก่อนแตะการแปล หากเข้าถึงต้นทางจากฮับผ่านอุโมงค์ไม่ได้ ก็ไม่มีสิ่งใดในรายการนี้จะแก้ไขได้

หยุดตรงนี้หากช่วงที่ป้องกันกับที่อยู่ต้นทางไม่ตรงกัน

การตรวจสอบ 2 ตัดสินใจว่าสาขาจะเห็นต้นทางใด

สาขาเห็นที่อยู่เดิมของไคลเอนต์หรือที่อยู่ที่แปลแล้ว และการเลือกนั้นเป็นตัวกำหนดเส้นทางกลับ การเก็บที่อยู่ไคลเอนต์ไว้อ่านง่ายกว่าในบันทึกของต้นทาง แต่สาขาจะต้องส่งคำตอบสำหรับไคลเอนต์สาธารณะกลับผ่านอุโมงค์ เส้นทางค่าเริ่มต้นของอินเทอร์เน็ตทั่วไปจะส่งไปอีกทางและการเชื่อมต่อจะตายไปทางเดียว การแปลต้นทางเป็นที่อยู่ที่สาขาเส้นทางผ่านอุโมงค์อยู่แล้วจะตัดข้อกำหนดนั้นออก

การแปลยังเปลี่ยนสิ่งที่ต้นทางบันทึกได้และสิ่งที่กฎอิงต้นทางจะจับคู่ได้ หากแอปพลิเคชันต้องรู้ว่าคนใดอยู่เบื้องหลังคำขอ ที่นั้นคือพร็อกซีย้อนกลับที่ผ่านการพิสูจน์ตัวตน ไม่ใช่การตัดสินใจของ NAT

การตรวจสอบ 3 เขียนการแปลให้ตรงกับอินเทอร์เฟซจริง

ASA ประเมินกฎการแปลตามลำดับและรายงานว่ากฎใดตรงกัน คู่ของอินเทอร์เฟซในกฎจึงไม่ใช่เรื่องประดับ กฎที่เขียนสำหรับเส้นทางจากภายนอกเข้าภายในจะไม่ตรงกับทราฟฟิกที่ทางเข้าและทางออกต่างจากที่คุณสมมติไว้

เส้นทางที่คุณกำลังสร้างมีสี่ท่อน และทั้งสี่ต้องตรงกัน

ให้ถือว่าช่วงในตารางนั้นเป็นตัวแทน สิ่งสำคัญคือทูเพิลหลังการแปลเป็นที่อยู่ที่สาขายอมรับผ่านอุโมงค์ และมีการแมปย้อนกลับอยู่ในสถานะ NAT เพื่อให้คำตอบถูกคืนค่าตอนออก

การตรวจสอบ 4 จำกัดกฎการเข้าถึงไว้ที่พอร์ตที่เผยแพร่

เผยแพร่พอร์ต ไม่ใช่โฮสต์กฎที่อนุญาตต้นทางบนทุกบริการจะเปลี่ยนแอปพลิเคชันที่เผยแพร่หนึ่งตัวให้เป็นเส้นทางไปยังทุกสิ่งที่ต้นทางรัน รวมถึงอินเทอร์เฟซการจัดการที่คุณตั้งใจเก็บไว้นอกอินเทอร์เน็ต อนุญาตเฉพาะพอร์ตที่เผยแพร่จากต้นทางที่แปลแล้วไปยังต้นทาง และปล่อยบริการด้านการบริหารไว้บนเส้นทางที่ใช้ VPN เท่านั้น

ตรวจสอบลำดับกฎไปพร้อมกัน การอนุญาตกว้าง ๆ ที่อยู่เหนือกฎเฉพาะของคุณทำให้กฎเฉพาะนั้นมองไม่เห็น

การตรวจสอบ 5 ติดตามหนึ่งคำขอและคำตอบของมัน

อย่าเริ่มด้วยเบราว์เซอร์ เพราะเบราว์เซอร์ซ่อนว่าท่อนใดล้มเหลว ติดตามทราฟฟิกที่ฮับและอ่านผลก่อนจะเปลี่ยนสิ่งใด

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

การติดตามระบุการแปลที่ตรงกัน กฎการเข้าถึงที่อนุญาตหรือปฏิเสธทราฟฟิก และแพ็กเก็ตถูกส่งเข้าอุโมงค์หรือไม่ หากแสดงว่าทราฟฟิกออกทางอินเทอร์เฟซที่คุณไม่ได้คาดไว้ คู่ของอินเทอร์เฟซในกฎ NAT ก็ผิด หากแสดงการปฏิเสธ ลำดับกฎก็ผิด หากไปถึงอุโมงค์แต่ต้นทางไม่เคยตอบ ปัญหาอยู่ที่เส้นทางกลับของสาขา

จากนั้นส่งคำขอจริงหนึ่งครั้งจากภายนอกและยืนยันว่าคำตอบกลับมาทางอุโมงค์เดิม บันทึกรายการที่เผยแพร่ การแปล คู่ที่อยู่ที่ป้องกัน และเส้นทางกลับ เป็นบันทึกการเผยแพร่