ASA packet-tracer ilə VPN axını necə modelləşdirmək olar

ASA üzərində packet-tracer dar bir suala cavab verir: bu paket, buradan bu tuple ilə daxil olaraq, icazə alacaqmı və hara gedəcək. O, uzaq ucun hər hansı bir şey alıb-almadığına cavab vermir. Adi səhv, tunelin içində gedən tətbiqi sınaqdan keçirmək istəyəndə xarici IKE tuple-ı verməkdir. Əvvəlcə tuple-ı düzəldin, fazaları oxuyun, sonra simulyatorun görə bilmədiyi hər şey üçün real sübut əldə edin.

Aşağıdakı icmal ACL, NAT qaydası və tunnel-group kontekstinin qarşınızda olduğunu fərz edir. Onlar olmadan çıxış yoxlaya bilməyəcəyiniz bir siyasəti təsvir edir.

Addım 1: daxili axını sadə sözlərlə yazın

Heç nə yazmadan əvvəl tətbiqi təsvir edin. Daxildəki hostun uzaq şlüz arxasındakı serverə SSH açması, müəyyən mənbə portu olan bir daxili TCP axınıdır. Bu, ACL və VPN filtri tərəfindən qiymətləndirilən axındır, yəni yazdığınız axın budur.

Bunu bir cümlə kimi yazın, sonra sahə-sahə tərcümə edin:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Addım 2: giriş interfeysini və istiqaməti seçin

Giriş paketin gəldiyi interfeysdir, ondan çıxdığı interfeys deyil. Başlatma edən LAN hostu üçün bu, inside interfeysidir. Eyni sessiyanın cavab paketi üçün bu, outside interfeysidir və tuple tərsinə çevrilir. Təyinatı mənbə kimi yazmaq, inandırıcı lakin əlaqəsiz ALLOW qazanmağın ikinci ən geniş yayılmış yoludur.

Portlar da istiqamətlidir. Xidmət portu başladılan sorğu üçün təyinat sahəsinə aiddir, müştərinin qısaömürlü portu isə mənbə sahəsinə aiddir. TCP təyinatı 500 olan model 500 üzərində dinləyən TCP tətbiqini təsvir edir; rəqəm əmrdə göründüyü üçün IKE sınağına çevrilmir.

Addım 3: fazaları sıra ilə oxuyun

Çıxışdakı hər faza sahibi olan bir qərardır: marşrut axtarışı, ACL, NAT, sonra VPN və ya tunel seçimi. Onları çap olunduğu sıra ilə oxuyun və dizayna zidd olan ilk fazada dayanın.

NAT insanları çaşdırır. Əgər tərcümə olunmuş mənbə tunel üçün trafik seçən crypto ACL-dən kənara düşürsə, axın icazə ala bilər və heç vaxt inkapsulyasiya olunmaz. İz tərcümə olunmuş ünvanı çap edir, ona görə onu orijinal ünvanla deyil, tunelin maraqlı trafiki ilə müqayisə edin.

Addım 4: hansı yan keçmələri seçdiyinizi yoxlayın

detailed forması yoxlamaları atlayan seçimlər qəbul edir və Cisco ACL, VPN filtri, uRPF və IPsec saxtalaşdırma yoxlamalarını əhatə edən bypass-checks seçimini sənədləşdirir. Onlar atlanaraq alınan ALLOW, marşrutun və NAT-ın işləyəcəyini söyləyir, siyasətin real paketi qəbul edəcəyini yox. Seçimləri nəticənin yanında qeyd edin.

Siyasət cavabı lazımdırsa, yan keçmələr olmadan işə salın. Marşrut sualını təcrid edirsinizsə, onlarla işə salın və nəticəni marşrut cavabı kimi işarələyin.

Addım 5: real mübadilə ilə boşluğu bağlayın

Simulyasiya olunmuş icazə ASA-da dayanır. Uzaq şlüzün paketi şifrədən çıxarıb-çıxarmadığı, serverin bağlantını qəbul edib-etmədiyi və cavabın geri gəlib-gəlmədiyi ayrı müşahidələrdir. Son nöqtə sayğaclarından istifadə edin və ya təsdiqlənmiş yolda dar bir tutma.

Bəzi iz və təkrar seçimləri paket göndərir və ya vəziyyəti saxlayır. Hər variantı yalnız-oxuma axtarışı kimi qəbul etmək əvəzinə, buraxılışınız və təsdiqlənmiş diaqnostik prosedurunuz üçün sənədləşdirilmiş davranışa əməl edin.

İz hələ də sizə deyə bilmədiyi şey

Dörd şeyi bir qeyddə saxlayın: tuple, uyğun NAT qaydası, axını daşımalı olan tunel və ya siyasət və istiqamətə xas müşahidə. Onlar olmadan sonrakı mühəndis yerli siyasət qərarını qurulmuş idarə müstəvisindən və işləyən xidmətdən ayıra bilməz. İlk uğursuzluqdan sonra gələn uğur da tunelin bu arada qalxmalı olduğuna sübut deyil; fazanı və vəziyyət dəyişikliyini qeyd edin.

Daxili tuple ilə başlayın, dizayna zidd olan ilk fazada dayanın və yalnız bundan sonra son nöqtə sübutuna əl atın. İz siyasət orakulu, çatdırılma qəbzi deyil.