Hoe om 'n VPN-vloei met ASA packet-tracer te modelleer

Packet-tracer op 'n ASA beantwoord 'n smal vraag: sou hierdie pakket, wat hier met hierdie tuple inkom, toegelaat word, en waarheen sou dit gaan. Dit beantwoord nie of die verre punt enigiets ontvang nie. Die gewone fout is om 'n buitenste IKE-tuple in te voer wanneer die ding wat jy wil toets die toepassing is wat binne die tonnel ry. Korrigeer eers die tuple, lees die fases, en kry dan werklike bewyse vir alles wat die simulator nie kan sien nie.

Die deurloop hieronder veronderstel dat die ACL, NAT-reel en tunnel-group-konteks voor jou is. Sonder hulle beskryf die uitset 'n beleid wat jy nie kan kontroleer nie.

Stap 1: skryf die binneste vloei in eenvoudige woorde

Beskryf die toepassing voordat jy enigiets intik. 'n Gasheer op die binnekant wat SSH na 'n bediener agter die verre gateway open, is een binneste TCP-vloei met 'n spesifieke bronpoort. Dit is die vloei wat die ACL en die VPN-filter evalueer, so dit is die vloei wat jy intik.

Skryf dit as 'n sin, en vertaal dit dan veld vir veld:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Stap 2: kies die inkomende interface en die rigting

Inkomend is die interface waarop die pakket aankom, nie die een waardeur dit vertrek nie. Vir 'n LAN-gasheer wat begin, is dit die inside-interface. Vir die terugpakket van dieselfde sessie is dit die outside-interface, en die tuple keer om. Om die bestemming as die bron in te tik is die tweede mees gewone manier om 'n oortuigende maar irrelevante ALLOW te verdien.

Poorte is ook rigtinggebonde. Die dienspoort hoort in die bestemmingsveld vir 'n geïnisieerde versoek, en die kliënt se kortstondige poort hoort in die bronveld. 'n Model met TCP-bestemming 500 beskryf 'n TCP-toepassing wat op 500 luister; dit word nie 'n IKE-toets omdat die nommer in die opdrag verskyn nie.

Stap 3: lees die fases in volgorde

Elke fase in die uitset is 'n besluit met 'n eienaar: roetesoek, ACL, NAT, dan VPN- of tonnelkeuse. Lees hulle in die volgorde waarin hulle gedruk is en stop by die eerste fase wat nie met die ontwerp ooreenstem nie.

NAT verras mense. As die vertaalde bron buite die crypto-ACL val wat verkeer vir die tonnel kies, kan die vloei toegelaat word en nooit ingekapsel word nie. Die spoor druk die vertaalde adres, so vergelyk dit met die tonnel se interessante verkeer eerder as met die oorspronklike adres.

Stap 4: kontroleer watter omseilings jy gekies het

Die detailed-vorm neem opsies wat kontroles oorslaan, en Cisco dokumenteer 'n bypass-checks-opsie wat ACL, VPN-filter, uRPF en IPsec-spoofkontroles dek. 'n ALLOW wat met dié omseil kry, sê die roete en NAT sou werk, nie dat die beleid 'n werklike pakket sou toelaat nie. Teken die opsies langs die resultaat aan.

As jy die beleidsantwoord nodig het, laat dit loop sonder die omseilings. As jy 'n roetevraag isoleer, laat dit met hulle loop en merk die resultaat as 'n roeteantwoord.

Stap 5: oorbrug die gaping met die werklike uitruil

Simuleerde toelating stop by die ASA. Of die verre gateway die pakket ontsleutel het, of die bediener die verbinding aanvaar het, en of 'n antwoord teruggekom het, is afsonderlike waarnemings. Gebruik eindpunt-tellers of 'n smal opname op 'n goedgekeurde pad.

Sommige spoor- en herspelopsies stuur pakkette of hou toestand vol. Volg die gedokumenteerde gedrag vir jou weergawe en jou goedgekeurde diagnostiese prosedure eerder as om elke variant as 'n lees-alleen-soektog te behandel.

Wat die spoor jou nog steeds nie kan sê nie

Hou vier dinge in een nota: die tuple, die ooreenstemmende NAT-reël, die tonnel of beleid wat die vloei moet dra, en die rigting-spesifieke waarneming. Sonder hulle kan 'n latere ingenieur nie 'n plaaslike beleidsbesluit van 'n gevestigde beheervlak van 'n werkende diens onderskei nie. 'n Eerste mislukking gevolg deur 'n sukses is ook nie bewys dat die tonnel tussenin moes opkom nie; teken die fase en die toestandsverandering aan.

Begin met die binneste tuple, stop by die eerste fase wat die ontwerp weerspreek, en gryp net daarna na eindpunt-bewyse. Die spoor is 'n beleidsorakel, nie 'n afleweringsbewys nie.