ASA saytlararo VPN orqali ichki xizmatni e’lon qilish

ASA saytlararo VPN orqali ichki xizmatni ochish uchun besh tartibli tekshiruv: himoyalangan diapazon, manba modeli, tarjima, port qamrovi, javob yo‘li.

Saytlararo VPN ortida yashovchi xizmatni e’lon qilish beshta nosozlik nuqtasi bo‘lgan bitta vazifadir va ular qat’iy tartibda ishdan chiqadi. Tunnel ko‘tariladi, tarjima mos keladi, filial javob beradi va javob o‘sha yo‘l bilan qaytadi. Ulardan biri noto‘g‘ri bo‘lsa, brauzer bir xil narsani ko‘rsatadi: osilib qolgan yoki qayta o‘rnatilgan ulanish. Ro‘yxatni yuqoridan pastga ishlang va birinchi muvaffaqiyatsiz tekshiruvda to‘xtang.

Tekshiruv 1: tunnel manba manzilini himoyalaydi

Allaqachon trafik o‘tkazayotgan tunneldan boshlang, so‘ng e’lon qilmoqchi bo‘lgan manzil himoyalangan diapazon ichida ekanini tasdiqlang. ASA’da bu diapazon shifrlash ACL’idan yoki VTI marshrutlaridan keladi va manbaning haqiqiy manzilini qamrab olishi kerak, filial boshqaruv uchun ishlatadigan quyi tarmoqni emas. Manbani chetlab o‘tadigan tanlagich sizga ko‘tarilgan tunnel va unga hech qachon kirmaydigan oqim beradi.

Tarjimaga tegishdan oldin tunnel hisoblagichlari va marshrut jadvali bilan tasdiqlang. Agar manba markazdan tunnel orqali yetib bo‘lmaydigan bo‘lsa, bu ro‘yxatda keyingi hech narsa uni tuzata olmaydi.

Himoyalangan diapazon va manba manzili mos kelmasa, shu yerda to‘xtang.

Tekshiruv 2: filial qaysi manbani ko‘rishini hal qiling

Filial yo mijozning asl manzilini, yo tarjima qilingan manzilni ko‘radi va bu tanlov qaytish yo‘lini belgilaydi. Mijoz manzilini saqlash manba jurnallarida tozaroq o‘qiladi, ammo u holda filial ommaviy mijozlar uchun javoblarni tunnel orqali qaytarishi kerak; oddiy internet standart marshruti ularni boshqa tomonga yuboradi va ulanish bir yo‘nalishda o‘ladi. Manbani filial allaqachon tunnel orqali marshrutlaydigan manzilga tarjima qilish bu talabni olib tashlaydi.

Tarjima shuningdek manba nimalarni jurnalga yozishi va manbaga asoslangan qoidalar nima bilan mos kelishini o‘zgartiradi. Agar dastur so‘rov ortidagi odamni bilishi kerak bo‘lsa, uning o‘rni autentifikatsiyalangan teskari proksi, NAT qarori emas.

Tekshiruv 3: tarjimani haqiqiy interfeyslarga qarab yozing

ASA tarjima qoidalarini tartib bilan baholaydi va qaysi biri mos kelganini xabar qiladi, shuning uchun qoida ichidagi interfeys juftligi bezak emas. Tashqaridan ichkariga yo‘l uchun yozilgan qoida kirish va chiqishi siz taxmin qilganlardan farq qiladigan oqimga mos kelmaydi.

Siz qurayotgan yo‘lning to‘rt qismi bor va to‘rttasi ham mos kelishi kerak:

LegSourceDestination
Request from the internet198.51.100.25203.0.113.20:443
After destination translation198.51.100.2510.60.20.10:443
After source translation toward the tunnel10.10.250.1010.60.20.10:443
Branch reply10.60.20.1010.10.250.10
Restored reply to the client203.0.113.20198.51.100.25

O‘sha jadvaldagi diapazonlarni joy egallovchi deb hisoblang. Muhimi, tarjimadan keyingi kortej filial tunnel orqali qabul qiladigan manzil bo‘lishi va NAT holatida teskari xaritalash mavjud bo‘lishi, shunda javob chiqishda tiklanadi.

Tekshiruv 4: kirish qoidasini e’lon qilingan port bilan cheklang

Portni e’lon qiling, xostni emas. Manbaga har bir xizmatda ruxsat beradigan qoida bitta e’lon qilingan dasturni manba ishga tushiradigan hamma narsaga yo‘lga aylantiradi, jumladan ataylab internetdan tashqarida saqlagan boshqaruv interfeysingizga ham. Tarjima qilingan manbadan manbaga e’lon qilingan portga ruxsat bering va ma’muriy xizmatlarni ularning faqat-VPN yo‘lida qoldiring.

Shu bilan birga qoidalar tartibini tekshiring. Sizning aniq qoidangiz ustida turgan keng ruxsat aniq qoidani ko‘rinmas qiladi.

Tekshiruv 5: bitta so‘rov va uning javobini kuzatib boring

Brauzerdan boshlamang, chunki brauzer qaysi qism ishdan chiqqanini yashiradi. Markazda oqimni kuzatib boring va biror narsani o‘zgartirishdan oldin natijani o‘qing.

packet-tracer input outside tcp 198.51.100.25 50000 203.0.113.20 443 detailed
show nat detail
show xlate
show vpn-sessiondb l2l

Kuzatuv mos kelgan tarjimani, oqimga ruxsat bergan yoki rad etgan kirish qoidasini va paket tunnelga yo‘naltirilganini aytadi. Agar oqim siz kutmagan interfeysdan chiqayotganini ko‘rsatsa, NAT qoidasidagi interfeys juftligi noto‘g‘ri. Agar rad etishni ko‘rsatsa, qoidalar tartibi noto‘g‘ri. Agar tunnelga yetib, lekin manba hech qachon javob bermasa, muammo filialning qaytish yo‘lida.

So‘ng tashqaridan bitta haqiqiy so‘rov yuboring va javob o‘sha tunnel orqali qaytishini tasdiqlang. E’lon qilingan yozuvni, tarjimani, himoyalangan manzil juftini va qaytish marshrutini e’lon yozuvi sifatida qayd eting.

O'xshash maqolalar