Cisco ASA tunel standart marşrutu: nə vaxt həqiqətən tətbiq olunur

Uzaqdan giriş istifadəçisi ASA-dan o tərəfə heç nəyə çata bilmir, halbuki eyni server daxili LAN-dan gələn ping sorğularına cavab verir. Tunel qurulur, müştəri hovuzdan ünvan alır, paket yenə də internet standart marşrutu ilə çıxır və ya yox olur. Bu mənzərə adətən şifrəsi açılmış trafikin öz marşrutunu tapmadığını və adi standart marşruta düşdüyünü bildirir. Həll başqa NAT qaydası deyil; həll tunel standart marşrutudur.

Konfiqurasiyadan deyil, simptomdan başlayın

Paketin getdiyi yerə baxın, getməsini gözlədiyiniz yerə deyil. Uğursuz sessiya zamanı xarici interfeysdə aparılan tutma şifrəsi açılmış paketin hovuz ünvanı toxunulmaz halda ISP şlüzuna doğru getdiyini göstərir, ya da axtarış uğursuz olduğu üçün heç nə göstərmir. Hər iki halda problem tuneldə deyil.

show vpn-sessiondb çıxışında tunel sağlam görünür və insanların IKE-ni dibinə qədər araşdırmasının səbəbi də elə budur.

Bunu ACL drop-dan fərqləndirən istiqamətdir. ACL drop qeydə alınır və sayılır, çatışmayan marşrut isə uyğun giriş olmadan axtarış uğursuzluğu yaradır. Müştərinin təyinatı üçün show route işə salın və ASA-nın həqiqətən nə seçdiyini oxuyun, o cümlədən standart marşrutun seçilib-seçilmədiyini və hansının seçildiyini.

Tunel axtarışı nə ilə fərqlənir

Cisco-nun ASA 9.23 statik marşrutlaşdırma təlimatı statik və ya öyrənilmiş marşrutu olmayan şifrəsi açılmış VPN trafiki üçün ayrıca standart marşrut sənədləşdirir. tunneled açar sözü həmin marşrutu işarələyir, beləliklə şifrəsi açılmış paket ASA-nın öz nəqliyyatı üçün istifadə etdiyi növbəti hopdan fərqli bir hopa düşə bilər. Daha konkret marşrutlar yenə də üstün gəlir, buna görə də müştəri daxili şlüz vasitəsilə 10.0.0.0/8-ə çata, qalan hər şeyi isə itirə bilər.

Minimal düzən fərqli növbəti hoplara malik iki standart marşrut saxlayır. Biri ASA-nın öz trafikini, biri də daha yaxşı marşrutu olmayan şifrəsi açılmış trafiki daşıyır. Hər iki növbəti hop yenə də onları bağladığınız interfeysdən əlçatan olmalıdır.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Əgər iki standart marşrut eyni növbəti hopa göstərirsə, açar söz heç nəyi dəyişmir və simptom yerindən tərpənməyəcək.

İşləyib-işləmədiyini həll edən məhdudiyyətlər

Həmin təlimat yalnız bir tunel standart marşrutuna icazə verir və onun üçün ECMP-nin dəstəklənmədiyini bildirir, yəni həmin yolu yüklə bölüşdürə bilməzsiniz. O, həmçinin marşrut izləmə, tərs yol yoxlaması və bəzi yoxlama və idarəetmə axınları ilə bağlı məhdudiyyətləri sadalayır. Bu funksiyanın ətrafında dizayn etməzdən əvvəl onları quraşdırılmış buraxılışınıza görə oxuyun. Onları nəzərə almayan dizayn hər yerdə deyil, adətən bir konkret nöqtədə uğursuz olur və simptomun aralıqlı görünməsinin səbəbi də budur.

Tərs yol yoxlaması asimmetrik dizaynlarda dişləyən məhdudiyyətdir. Əgər cavab ASA-nın gözlədiyindən fərqli interfeysdən gələcəksə, paket marşrutlaşdırmanın əhəmiyyəti qalmadan atılır. Növbəti hopu məcbur etmək üçün yoxlamanı söndürmək əvəzinə topologiyanı və ya qayıdış yolunu düzəldin.

Marşrut izləmə ayrı bir tələdir: izlənən obyekt adətən tunel standart marşrutunu deyil, adi standart marşrutu qoruyur.

Açar sözün etmədikləri

O, ASA-nın IKE qurmaq üçün istifadə etdiyi mənbə ünvanını seçmir. Xarici tunel son nöqtəsi platformanın öz interfeys və mənbə seçiminə uyğun gəlir və tunel standart marşrutunun bu qərarda heç bir payı yoxdur. Onu dəyişmək yanlış ünvandan mənbə götürən phase 1-i bərpa etməyəcək.

O, növbəti hopu proksiyə çevirmir də. Əgər təyinat HTTP CONNECT mübadiləsi gözləyirsə, proksi hostuna xam IP paketləri göndərmək sizə yalnız onları marşrutlaşdırmayan bir host verir. Bunun əvəzinə müştərinin dəstəklədiyi proksi mexanizmini konfiqurasiya edin.

Və o, aşağı istiqamətdə yönləndirmə yaratmır. Göstərdiyiniz şlüz yenə də VPN hovuzuna qayıdış marşrutuna, həmçinin dizayn tələb etdikdə mənbə tərcüməsinə ehtiyac duyur.

Yolu başdan-başa yoxlayın

Marşrut qurulduqdan sonra dörd şeyi ardıcıl yoxlayın: hovuzun ehtiyac duyduğu təyinat üçün show route, yeni növbəti hopa doğru interfeysdə tutma, şlüzün özündə tutma və həmin şlüzdən hovuz ünvanına qayıdış yolu. İlk ikisi ASA-nın yolu seçdiyini, son ikisi isə orada kiminsə cavab verdiyini sübut edir.

Əgər şlüz cavab verir, amma müştəri heç bir cavab görmürsə, marşrut cədvəlinə yenidən toxunmadan əvvəl mənbə tərcüməsinə və cavab marşrutuna baxın.

Yoxladığınız buraxılışı qeyd edin, çünki məhdudiyyətlər siyahısı versiyaya bağlıdır və bir qolda işləyən dizayn digərində fərqli yol tələb edə bilər. Bu qeyd konfiqurasiya fraqmentindən daha uzun yaşayır.