Cisco ASA-dan Azure VPN-ə: trafik seçici prefiks cütləri

Tunel qalxır, IKE sağlam görünür və içindən heç nə keçmir. Bu, ASA-dan Azure-a seçici probleminin adi formasıdır və buna görə hər iki konsola toxunmazdan əvvəl müqaviləni yazıram. Müqavilə dörd şeydir: hər peer-i identifikasiya edən obyektlər, əlaqə modeli, dəqiq prefiks cütləri və hər cütü sübut edən yoxlama. Bunları səhv etsəniz, sonrakı hər əmr qurmamalı olduğunuz konfiqurasiyanı debug edir. Bu runbook istifadə etdiyim sıradır və hansı obyektin həqiqətən səhv olduğunu göstərən əmrlərlə birlikdədir.

Konfiqurasiyadan əvvəl dörd obyekti yazın

ASA buraxılışı və platforması, ictimai endpoint, Azure VPN gateway növü və SKU, sizin tərəfinizi təmsil edən local network gateway ilə başlayın. Bu dörd ad sonrakı hər şeyin lüğətidir və nəsə pozulanda hər birinin fərqli sahibi olur.

Əgər onlardan ikisi hələ də təxmindirsə, dayanın. Səhv local network gateway prefiks siyahısı tuning problemi deyil.

Bir əlaqə modeli seçin və şablonları qarışdırmağı dayandırın

Crypto-map dizaynı və tunnel-interface dizaynı fərqli konfiqurasiyalardır və birinin şablonu peer ünvanını redaktə etməklə digəri üçün etibarlı olmur. Nə isə yapışdırmazdan əvvəl hansını qurduğunuzu qeyd edin, çünki uyğunsuzluq sonra konfiqurasiya xətası kimi deyil, seçici problemi kimi üzə çıxır. Microsoft-un ASA qarşılıqlı işləmə təlimatı hər iki nümunəni əhatə edir və hər birinin hansı Azure gateway modelini fərz etdiyini bildirir. Qeydləriniz modeli adlandırmırsa, hələ dizaynınız yoxdur.

Siyasət əsaslı trafik seçiciləri olan marşrut əsaslı Azure gateway xüsusi sənədləşdirilmiş variantdır, default deyil. Dizaynınız bundan asılıdırsa, dizayn bunu deməlidir, çünki default marşrut əsaslı seçici modeli Azure tərəfində fərqli davranır.

Versiya məhdudiyyətləri də müqaviləyə aiddir. Şifrələmə domenlərinə qoyulan limit haqqında köhnə bir saha hesabatı müəyyən buraxılışlara aid məlumat nöqtəsidir, hər ASA-nın daimi xassəsi deyil.

Aqreqatları deyil, prefiks cütlərini sadalayın

Matrisi yazın. Lokal A və B-dən Azure X və Y-ə dörd cütdür və hər biri ya əhatə, ya da açıq istisna tələb edir. A və B-ni bir aqreqata yığmaq onların arasında olanı da əhatə edir və dizayn beləcə səssizcə deşik açır.

Saxladığınızı deyil, peer-lərin razılaşdığını yoxlayın. ASA-dakı local və remote şəbəkə siyahısı niyyətdir; CHILD SA-lar nəticədir.

Cüt çatışmırsa, düzəliş adətən access-list sətri və ya seçici qeydidir, yeni tunel deyil.

Obyekti adlandıran əmrlərlə yoxlayın

ASA-da əvvəlcə IKE sessiyasını, sonra IPsec SA-ları, sonra seçici cütlərini təsdiqləyin. Hər əmr fərqli suala cavab verir və yalnız birincini işlətmək tunelin qalxdığı ifadəsini yanlış nəticəyə çevirir. Çıxışı siyahıda birinci olan SA üçün deyil, həqiqətən konfiqurasiya etdiyiniz peer üçün oxuyun. Azure tərəfi eyni üç suala öz nöqteyi-nəzərindən cavab verir.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Sonra Azure-dan əlaqə vəziyyətini az network vpn-connection show --name <connection> --query connectionStatus ilə soruşun. Data yolunda sıfır baytla Connected seçici problemidir, marşrut problemi deyil.

Hər cüt üçün bir icazəli axını sınaqdan keçirin, qarşı tərəfdə görünən mənbə ünvanını yoxlayın və rədd edilməli olan bir resursu yoxlayın. O son sınaq sərhədin hələ də mövcud olduğunu sübut edən yeganə sınaqdır.

Şifrələmə əhatəsini giriş icazəsindən ayrı saxlayın

Geniş seçici icazə deyil. Dəstəklənən layout tətbiq siyasətindən genişdirsə, dar xidmətləri firewall qaydalarında saxlayın və şifrələmə əhatəsini lazım olduğu yerdə qoyun.

Azure iş yükü marşrutları və lokal qayıdış marşrutları ayrıca nəzərdən keçirilir. BGP elanları, statik şəbəkə əhatəsi və istifadəçi təyin etdiyi marşrutlar hamısı eyni yolu təsvir etməlidir və heç biri peer transportunu rekursiv tutmamalıdır.

Geri qaytarma və işlədiyinin sübutu

Seçiciləri dəyişməzdən əvvəl əvvəlki işlək konfiqurasiyanı saxlayın və onu geri qaytaran tək əmri bilin. ASA-da bu, yaddaşda saxlanılan surət və uyğun bərpa yolu deməkdir, redaktə etdiklərinizin xatirəsi deyil. Bərpa əmrini dəyişiklik hələ hipotetik ikən change ticket-ə yazın. Sonra eyni üç yoxlamanı yenidən işlədin: IKE vəziyyəti, IPsec SA cütləri, hər cüt üçün bir icazəli axın.

Bərpadan sonra cüt hələ də uğursuz olursa, dəyişiklik səbəb deyildi və siz özünüzü ikinci kəsintidən xilas etdiniz.