كيف تحاكي مسار VPN باستخدام ASA packet-tracer

يجيب packet-tracer على ASA عن سؤال ضيق: هل ستُسمح هذه الحزمة، الداخلة هنا بهذه المجموعة، وما هو مسارها۔ لا يجيب عمّا إذا كان الطرف البعيد يستقبل أي شيء۔ الخطأ المعتاد هو إدخال مجموعة IKE خارجية بينما الشيء الذي تريد اختباره هو التطبيق الذي يسير داخل النفق۔ صحّح المجموعة أولاً، ثم اقرأ المراحل، ثم اجمع أدلة حقيقية على كل ما لا يستطيع المحاكي رؤيته۔

يفترض هذا العرض التوضيحي أن سياق ACL وقاعدة NAT ومجموعة النفق أمامك۔ من دونها يصف الناتج سياسة لا يمكنك التحقق منها۔

الخطوة 1: اكتب التدفق الداخلي بكلمات بسيطة

صِف التطبيق قبل كتابة أي شيء۔ المضيف الموجود بالداخل الذي يفتح SSH إلى خادم خلف البوابة البعيدة هو تدفق TCP داخلي واحد بمنفذ مصدر محدد۔ هذا هو التدفق الذي تقيّمه ACL ومرشّح VPN، لذا فهو التدفق الذي تكتبه۔

اكتبه جملةً واحدة، ثم ترجمه حقلاً بحقل:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

الخطوة 2: اختر واجهة الدخول والاتجاه

الدخول هو الواجهة التي تصل إليها الحزمة، لا التي تخرج منها۔ بالنسبة لمضيف LAN يبدأ الاتصال، فهي واجهة inside۔ بالنسبة لحزمة الردّ للجلسة نفسها، فهي واجهة outside، وتنعكس المجموعة۔ كتابة الوجهة في موضع المصدر هي ثاني أكثر الطرق شيوعاً لكسب ALLOW مقنع لكنه غير ذي صلة۔

المنافذ اتجاهية أيضاً۔ ينتمي منفذ الخدمة إلى حقل الوجهة في الطلب الذي يبدأه العميل، وينتمي المنفذ العابر للعميل إلى حقل المصدر۔ النموذج الذي وجهته TCP هي 500 يصف تطبيق TCP يستمع على 500؛ ولا يصبح اختبار IKE لمجرد ظهور الرقم في الأمر۔

الخطوة 3: اقرأ المراحل بالترتيب

كل مرحلة في الناتج قرار له مالك: بحث المسار، وACL، وNAT، ثم اختيار VPN أو النفق۔ اقرأها بالترتيب المطبوع وتوقّف عند أول مرحلة تخالف التصميم۔

NAT يوقع الناس في الخطأ۔ إذا وقع المصدر المترجم خارج crypto ACL الذي يختار حركة النفق، فقد يُسمح بالتدفق ولا يُغلّف أبداً۔ يطبع التتبع العنوان المترجم، فقارنه بحركة النفق المهمة لا بالعنوان الأصلي۔

الخطوة 4: تحقّق من التجاوزات التي اخترتها

يقبل الشكل detailed خيارات تتخطى الفحوص، وتوثّق Cisco خيار bypass-checks الذي يغطي ACL ومرشّح VPN وuRPF وفحوص انتحال IPsec۔ وALLOW الذي يُحصل عليه مع تجاوزها يقول إن المسار وNAT سيعملان، لا إن السياسة ستقبل حزمة حقيقية۔ سجّل الخيارات بجانب النتيجة۔

إن كنت تحتاج جواب السياسة، فشغّله بلا التجاوزات۔ وإن كنت تعزل مسألة توجيه، فشغّله معها وسمِّ النتيجة جواب توجيه۔

الخطوة 5: اسدّ الفجوة بالتبادل الحقيقي

السماح المحاكى يتوقف عند ASA۔ هل فكّت البوابة البعيدة تشفير الحزمة، وهل قبل الخادم الاتصال، وهل عاد ردّ، كلها ملاحظات منفصلة۔ استخدم عدّادات نقاط النهاية أو التقاطاً ضيقاً على مسار معتمد۔

بعض خيارات التتبع والإعادة ترسل حزماً أو تحفظ حالة۔ اتبع السلوك الموثّق لإصدارك وإجرائك التشخيصي المعتمد بدلاً من معاملة كل صيغة كبحث للقراءة فقط۔

ما لا يستطيع التتبع إخبارك به بعد

احفظ أربعة أشياء في ملاحظة واحدة: المجموعة، وقاعدة NAT المطابقة، والنفق أو السياسة التي ينبغي أن تحمل التدفق، والملاحظة الخاصة بالاتجاه۔ من دونها لا يستطيع مهندس لاحق أن يفصل قرار سياسة محلي عن مستوى تحكم قائم عن خدمة تعمل۔ كما أن فشلاً أول يتبعه نجاح ليس دليلاً على أن النفق كان لا بد أن يقوم في الأثناء؛ سجّل المرحلة وتغيّر الحالة۔

ابدأ بالمجموعة الداخلية، وتوقّف عند أول مرحلة تناقض التصميم، وعندها فقط اطلب أدلة نقاط النهاية۔ التتبع عرّاف سياسة، لا إيصال تسليم۔