ASA DHCP relay site-to-site VPN üzərində: addım-addım bələdçi

Relay üç ayaq üzərində işləyir və yalnız ortadakı ayaq VPN-i keçir. Müştəri filial seqmentində yayım göndərir, ASA həmin yayımı DHCP serverinə unicast sorğuya çevirir, server isə müştəriyə deyil, relay ünvanına cavab verir. Ayaqları bu sıra ilə keçin və «relay xarabdır» hallarının çoxu çatışmayan siyasətə və ya səhv oxunmuş setroute sətrinə qədər azalır.

Birinci ayaq: relay-i müştəriyə baxan interfeysdə aktivləşdirin

Filial ASA-da relay müştərilərə baxan interfeysin xassəsidir. Server qlobal olaraq öz əlçatan interfeysi ilə, ya da həmin müştəriyə baxan interfeysin altında elan edilə bilər ki, marşrut cədvəli çıxışı seçsin. Bu iki forma bir-birini əvəz etmir və səhv olanı köçürmək bələdçinin ilk dəfə yoldan çıxdığı yerdir.

Nəyisə dəyişməzdən əvvəl işləyən konfiqurasiyanı yoxlayın: hansı interfeysdə relay aktivdir, hansı server forması mövcuddur və setroute müştəri interfeysinə bağlanıbmı. ASA başqa seqment üçün də DHCP serveri işlədirsə, dayanın və məhdudiyyətlər siyahısını oxuyun; server və relay eyni qurğuda birlikdə aktivləşdirilə bilməz.

Relay öz müştəriyə baxan ünvanını gateway ünvanı sahəsinə yazır. Server məhz həmin ünvana cavab verəcək, ona görə də o ünvan yalnız lokal deyil, tunnel üzərindən uzaq sahədən əlçatan olmalıdır.

İkinci ayaq: ASA-nın yaratdığı trafiki tunnel üzərindən daşıyın

Bu, insanların atladığı addımdır. Siyasət əsaslı site-to-site VPN adətən subnetlər arasındakı trafik üçün qurulur, relay sorğusunu isə ASA özü yaradır. Tunnelin giriş siyahısı və kripto xəritəsi yalnız filial hostundan server subnetinə axınlarla uyğunlaşırsa, relay paketi tunelə heç vaxt girməyə bilər. Giriş siyahısını hər iki istiqamətdə yoxlayın, təkcə filialdan serverə sətrində deyil.

Maraqlı trafikin ASA-nın relay mənbəyini və server ünvanını əhatə etdiyini, dönüş istiqamətinin də icazəli olduğunu təsdiqləyin. VTI əsaslı dizaynda marşrut qərarı daha sadədir, lakin VTI üzərində relay dəstəyi müəyyən buraxılışda gəldi; ASA DHCP bələdçisi 9.14(1) buraxılışını göstərir, ona görə də VTI nümunəsini köhnə cihaza köçürməzdən əvvəl imici yoxlayın.

ASA-dan serverə ping özlüyündə az şey sübut edir. O, başqa yolla, başqa mənbə ünvanı ilə və ya relay paketlərinin uyğunlaşmadığı siyasət altında uğur qazana bilər.

Üçüncü ayaq: cavabı və setroute seçimini oxuyun

RFC 2131 deyir ki, server giaddr sahəsi sıfırdan fərqli olduqda cavabını həmin ünvana göndərir. Deməli dönüş yolu relay ünvanına marşrutlaşmalıdır, və tunnel siyasəti serverdən relayə istiqamətinə icazə verməlidir. Sorğu keçib, təklif isə heç vaxt gəlmirsə, axtarılacaq yer buradır.

Sonra eyni səslənən iki şeyi ayırın. setroute açar sözü ASA-nın müştəriyə verdiyi default-router seçimini dəyişir və ya ona əlavə edir. O, ASA-da marşrut quraşdırmır və VPN siyasəti yaratmır. Ünvan alıb heç nəyə çata bilməyən müştəri çox vaxt setroute və ya scope problemi ilə üzləşir, tunnel problemi ilə deyil. Bunu statik gateway-i olmayan müştəri ilə sınaqdan keçirin və təklifdə hansı default router-in göründüyünə baxın.

Təklifi başdan sona oxuyun: təklif olunan ünvan, maska, default router, DNS və icarə müddəti. Sonra icarənin yenilənməsinə imkan verin. Bir dəfə işləyib yenilənmədə uğursuz olan relay adətən ilk mübadilənin gizlətdiyi scope, icarə və ya dönüş yolu problemi daşıyır.

Düzəldi deməzdən əvvəl nələrə baxıram

Müştəridən başlayın və yayımı tutun, sonra ASA-nın onu öz ünvanı ilə giaddr kimi relay etdiyini təsdiqləyin. Uzaq tərəfdə serverin həmin sorğunu gördüyünü və filiala uyğun scope seçdiyini təsdiqləyin. Filiala qayıdıb müştərinin təklifi qəbul etdiyini və gateway-inə çata bildiyini təsdiqləyin.

Hər hansı ayaq səssizdirsə, yeni relay bəyanatı əlavə etmək əvəzinə uyğun siyasəti və ya marşrutu yoxlayın. Kimsə eskalasiya etdiyi vaxt relay konfiqurasiyası adətən düzgün olur; dəyişən tunnel siyasəti və ya dönüş marşrutudur.

Üç ayağı dəyişiklik qeydinə yazın: müştəriyə baxan interfeys, relay trafikini əhatə edən VPN siyasəti və serverin giaddr ünvanına dönüş marşrutu. Məhz bu qeyd növbəti filial qurulumunu sazlama sessiyası deyil, təkrarlana bilən işə çevirir. O, həm də növbəti mühəndisə ilk olaraq hansı əmr çıxışını toplamağı deyir.