Bir iç hizmeti ASA site-to-site VPN üzerinden yayımlamak

Site-to-site VPN’in arkasında yaşayan bir hizmeti yayımlamak beş arıza noktası olan tek bir iştir ve bunlar sabit bir sırayla arıza verir. Tünel kalkar, çeviri eşleşir, şube yanıtlar ve yanıt aynı yoldan geri döner. Bunlardan biri yanlış olduğunda tarayıcı aynı şeyi gösterir: takılan veya sıfırlanan bir bağlantı. Listeyi yukarıdan aşağıya işleyin ve başarısız olan ilk kontrolde durun.

Kontrol 1: tünel kaynak adresini korur

Trafiği zaten geçiren bir tünelle başlayın, ardından yayımlamayı planladığınız adresin korunan aralığın içinde olduğunu doğrulayın. Bir ASA’da bu aralık şifreleme ACL’sinden veya bir VTI’nin rotalarından gelir ve kaynağın gerçek adresini kapsamalıdır, şubenin yönetim için kullandığı alt ağı değil. Kaynağı kaçıran bir seçici size ayakta bir tünel ve içine hiç girmeyen bir akış verir.

Çeviriye dokunmadan önce bunu tünel sayaçları ve yönlendirme tablosuyla doğrulayın. Kaynağa merkezden tünel üzerinden ulaşılamıyorsa, bu listede daha sonraki hiçbir şey bunu düzeltemez.

Korunan aralık ile kaynak adresi uyuşmuyorsa burada durun.

Kontrol 2: şubenin hangi kaynağı göreceğine karar verin

Şube ya istemcinin özgün adresini ya da çevrilmiş bir adresi görür ve bu seçim dönüş yolunu belirler. İstemci adresini korumak kaynağın günlüklerinde daha temiz okunur, ancak o zaman şube genel istemciler için yanıtları tünelden geri göndermek zorundadır; olağan bir internet varsayılan rotası bunları diğer yöne gönderir ve bağlantı tek yönde ölür. Kaynağı, şubenin zaten tünel üzerinden yönlendirdiği bir adrese çevirmek bu gereksinimi ortadan kaldırır.

Çeviri ayrıca kaynağın neyi günlüğe kaydedebileceğini ve kaynak tabanlı kuralların neyle eşleşebileceğini değiştirir. Uygulamanın bir isteğin arkasındaki kişiyi bilmesi gerekiyorsa, bunun yeri kimliği doğrulanmış bir ters vekil sunucudur, NAT kararı değil.

Kontrol 3: çeviriyi gerçek arayüzlere göre yazın

ASA çeviri kurallarını sırayla değerlendirir ve hangisinin eşleştiğini bildirir, bu nedenle kural içindeki arayüz çifti kozmetik değildir. Dışarıdan içeriye giden bir yol için yazılmış kural, girişi ve çıkışı varsaydıklarınızdan farklı olan bir akışla eşleşmez.

Kurduğunuz yolun dört bölümü vardır ve dördü de uyuşmalıdır:

O tablodaki aralıkları yer tutucu olarak alın. Önemli olan, çeviriden sonraki tanımlayıcının şubenin tünel üzerinden kabul ettiği bir adres olması ve NAT durumunda ters eşlemenin bulunmasıdır, böylece yanıt çıkışta geri yüklenir.

Kontrol 4: erişim kuralını yayımlanan bağlantı noktasıyla sınırlayın

Bağlantı noktasını yayımlayın, ana bilgisayarı değil. Kaynağa her hizmette izin veren bir kural, yayımlanmış tek bir uygulamayı kaynağın çalıştırdığı her şeye giden bir yol hâline getirir; bilerek internetin dışında tuttuğunuz yönetim arayüzü de buna dahildir. Yayımlanan bağlantı noktasına çevrilmiş kaynaktan kaynağa izin verin ve yönetim hizmetlerini yalnızca-VPN yollarında bırakın.

Aynı zamanda kural sırasını kontrol edin. Belirli kuralınızın üzerinde duran geniş bir izin, belirli kuralı görünmez yapar.

Kontrol 5: bir isteği ve yanıtını izleyin

Tarayıcıyla başlamayın, çünkü tarayıcı hangi bölümün başarısız olduğunu gizler. Akışı merkezde izleyin ve herhangi bir şeyi değiştirmeden önce sonucu okuyun.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

İz, eşleşen çeviriyi, akışa izin veren veya reddeden erişim kuralını ve paketin tünele yönlendirilip yönlendirilmediğini adlandırır. Akışın beklemediğiniz bir arayüzden çıktığını gösteriyorsa, NAT kuralındaki arayüz çifti yanlıştır. Ret gösteriyorsa, kural sırası yanlıştır. Tünele ulaşıyor ama kaynak hiç yanıt vermiyorsa, sorun şubenin dönüş yoludur.

Ardından dışarıdan gerçek bir istek gönderin ve yanıtın aynı tünelden geri döndüğünü doğrulayın. Yayımlanan girdiyi, çeviriyi, korunan adres çiftini ve dönüş rotasını yayımlama kaydı olarak not edin.