Pag-publish ng panloob na serbisyo sa isang ASA site-to-site VPN

Ang pag-publish ng serbisyong nasa likod ng site-to-site VPN ay isang gawain na may limang punto ng pagpalya, at pumapalya ang mga ito sa takdang pagkakasunod-sunod. Umaangat ang tunnel, tumutugma ang salin, sumasagot ang sangay, at bumabalik ang sagot sa parehong daan. Kapag mali ang alinman sa mga ito, iisa ang ipinapakita ng browser: koneksyon na nakabitin o nire-reset. Trabahuin ang listahan mula taas pababa at huminto sa unang pagsusuring pumapalya.

Pagsusuri 1: pinoprotektahan ng tunnel ang address ng pinagmulan

Magsimula sa tunnel na nagpapadala na ng trapiko, pagkatapos ay tiyakin na ang address na balak mong i-publish ay nasa loob ng protektadong saklaw. Sa isang ASA galing ang saklaw na iyon sa crypto ACL o sa mga ruta ng VTI, at kailangan nitong saklawin ang tunay na address ng pinagmulan, hindi ang subnet na ginagamit ng sangay para sa pamamahala. Ang tagapili na nakakaligtaan ang pinagmulan ay magbibigay sa iyo ng tunnel na nakatayo at daloy na hindi kailanman pumapasok dito.

Tiyakin ito gamit ang mga counter ng tunnel at ang talahanayan ng ruta bago mo hawakan ang salin. Kung hindi maabot ang pinagmulan mula sa hub sa pamamagitan ng tunnel, wala nang iba pa sa listahang ito ang makakapag-ayos nito.

Huminto dito kung hindi tugma ang protektadong saklaw at ang address ng pinagmulan.

Pagsusuri 2: magpasya kung anong pinagmulan ang makikita ng sangay

Nakikita ng sangay ang orihinal na address ng kliyente o isang sinasaling address, at ang pagpiling iyon ang magpapasya sa daan ng pagbabalik. Ang pagpapanatili ng address ng kliyente ay mas malinaw basahin sa mga log ng pinagmulan, ngunit kailangan ng sangay na ibalik ang mga sagot para sa pampublikong kliyente sa pamamagitan ng tunnel; ang karaniwang default na ruta ng internet ay nagpapadala sa kanila sa kabilang direksyon at namamatay ang koneksyon sa isang direksyon. Ang pagsasalin ng pinagmulan sa address na dinaraanan na ng sangay sa pamamagitan ng tunnel ay nag-aalis sa pangangailangang iyon.

Binabago rin ng salin ang maaaring i-log ng pinagmulan at ang maaaring itugma ng mga patakarang nakabatay sa pinagmulan. Kung kailangan ng aplikasyon na malaman ang tao sa likod ng kahilingan, naroon ang lugar sa isang awtentikadong reverse proxy, hindi sa desisyon ng NAT.

Pagsusuri 3: isulat ang salin ayon sa tunay na mga interface

Sinusuri ng ASA ang mga patakaran ng salin sa pagkakasunod-sunod at iniuulat kung alin ang tumugma, kaya ang pares ng interface sa loob ng patakaran ay hindi palamuti. Ang patakarang isinulat para sa daang labas-pasok ay hindi tutugma sa daloy na ang pasukan at labasan ay naiiba sa inaasahan mo.

Ang daang binubuo mo ay may apat na bahagi, at lahat ng apat ay dapat tumugma:

Ituring na pansamantalang halaga ang mga saklaw sa talahanayang iyon. Ang mahalaga ay ang tuple pagkatapos ng salin ay address na tinatanggap ng sangay sa pamamagitan ng tunnel, at may reverse mapping sa estado ng NAT upang maibalik ang sagot sa paglabas.

Pagsusuri 4: limitahan ang patakaran ng access sa nai-publish na port

I-publish ang port, hindi ang host. Ang patakarang nagpapahintulot sa pinagmulan sa bawat serbisyo ay ginagawang daan ang isang nai-publish na aplikasyon patungo sa lahat ng pinapatakbo ng pinagmulan, kasama ang interface ng pamamahala na sadyang inilayo mo sa internet. Payagan ang nai-publish na port mula sa sinasaling pinagmulan patungo sa pinagmulan, at iwanan ang mga serbisyong pang-administrasyon sa kanilang daang VPN lamang.

Suriin din ang pagkakasunod-sunod ng mga patakaran. Ang malawak na pahintulot na nasa ibabaw ng iyong partikular na patakaran ay gumagawa sa partikular na patakaran na hindi nakikita.

Pagsusuri 5: subaybayan ang isang kahilingan at ang sagot nito

Huwag magsimula sa browser, dahil itinatago ng browser kung aling bahagi ang pumalya. Subaybayan ang daloy sa hub at basahin ang resulta bago ka magbago ng anuman.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Pinapangalanan ng subaybay ang salin na tumugma, ang patakaran ng access na nagpahintulot o tumanggi sa daloy, at kung ang packet ay niruta papasok sa tunnel. Kung ipinapakita nitong lumalabas ang daloy sa interface na hindi mo inaasahan, mali ang pares ng interface sa patakaran ng NAT. Kung nagpapakita ito ng pagtanggi, mali ang pagkakasunod-sunod ng mga patakaran. Kung umabot ito sa tunnel ngunit hindi kailanman sumasagot ang pinagmulan, ang problema ay ang daan ng pagbabalik ng sangay.

Pagkatapos ay magpadala ng isang tunay na kahilingan mula sa labas at tiyakin na bumabalik ang sagot sa parehong tunnel. Itala ang nai-publish na entry, ang salin, ang protektadong pares ng address at ang daan ng pagbabalik bilang talaan ng pag-publish.