Cisco ASA да Azure VPN: пары прэфіксаў селектараў трафіку

Тунэль узнікае, IKE выглядае здаровым, а праз яго нічога не праходзіць. Гэта звычайная форма праблемы селектараў ASA–Azure, і менавіта таму я пішу кантракт, перш чым дакрануцца да любой з дзвюх кансолей. Кантракт — гэта чатыры рэчы: аб'екты, якія ідэнтыфікуюць кожнага партнёра, мадэль злучэння, дакладныя пары прэфіксаў і праверка, якая даказвае кожную пару. Памыліцеся ў гэтым — і кожная наступная каманда будзе адладжваць канфігурацыю, якую вы не павінны былі будаваць. Гэты runbook — парадак, якім я карыстаюся, разам з камандамі, што паказваюць, які аб'ект насамрэч няправільны.

Запішыце чатыры аб'екты перад наладай

Пачніце з рэлізу і платформы ASA, публічнай канцавой кропкі, тыпу і SKU шлюза Azure VPN, а таксама лакальнага сеткавага шлюза, які прадстаўляе ваш бок. Гэтыя чатыры назвы — слоўнік для ўсяго далейшага, і ў кожнай з іх розны ўласнік, калі нешта ламаецца.

Калі дзве з іх усё яшчэ здагадкі, спыніцеся. Няправільны спіс прэфіксаў лакальнага сеткавага шлюза — не праблема наладкі.

Выберыце адну мадэль злучэння і перастаньце змешваць шаблоны

Дызайн crypto-map і дызайн tunnel-interface — гэта розныя канфігурацыі, і шаблон аднаго не робіцца дапушчальным для другога шляхам змены адраса партнёра. Зафіксуйце, які з іх вы будуеце, перш чым нешта ўстаўляць, бо неадпаведнасць пазней выявіцца як праблема селектараў, а не як памылка канфігурацыі. Кіраўніцтва Microsoft па сумяшчальнасці ASA ахоплівае абодва ўзоры і ўказвае, якую мадэль шлюза Azure кожны з іх мяркуе. Калі ў вашых нататках мадэль не названая, дызайну яшчэ няма.

Шлюз Azure на аснове маршрутаў з селектарамі трафіку на аснове палітык — гэта асобная дакументаваная опцыя, а не прадвызначэнне. Калі ваш дызайн ад яе залежыць, дызайн павінен гэта сказаць, бо прадвызначаная мадэль селектараў на аснове маршрутаў паводзіць сябе інакш на баку Azure.

Абмежаванні версій таксама належаць кантракту. Старая палявая справаздача пра абмежаванне на дамены шыфравання — гэта звестка пра пэўныя рэлізы, а не пастаянная ўласцівасць кожнай ASA.

Пералічце пары прэфіксаў, а не агрэгаты

Напішыце матрыцу. Лакальныя A і B да Azure X і Y — гэта чатыры пары, і кожная патрабуе альбо пакрыцця, альбо яўнага выключэння. Звядзенне A і B у адзін агрэгат уключае таксама ўсё, што паміж імі, і менавіта так дызайн ціха набывае дзірку.

Правярайце, пра што дамовіліся партнёры, а не што вы захавалі. Спіс лакальных і аддаленых сетак на ASA — гэта намер; CHILD SA — гэта вынік.

Калі пары не хапае, выпраўленне звычайна — радок access-list або запіс селектара, а не новы тунэль.

Правярайце камандамі, якія называюць аб'ект

На ASA пацвердзіце сесію IKE, затым IPsec SA, затым пары селектараў. Кожная каманда адказвае на іншае пытанне, і запуск толькі першай — гэта шлях да памылковай высновы, што тунэль узняты. Чытайце вывад для партнёра, якога вы насамрэч наладзілі, а не для таго SA, які выпадкова апынуўся першым у спісе. Бок Azure адказвае на тыя ж тры пытанні са свайго пункту гледжання.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Затым запытайце ў Azure стан злучэння праз az network vpn-connection show --name <connection> --query connectionStatus. Connected з нулём байтаў у шляху даных — гэта праблема селектараў, а не праблема маршрутызацыі.

Праверце адзін дазволены паток на кожную пару, агледзьце адрас крыніцы, які бачны на тым баку, і паспрабуйце адзін рэсурс, які павінен быць забаронены. Менавіта апошні тэст даказвае, што мяжа яшчэ існуе.

Трымайце шыфраванне асобна ад дазволу доступу

Шырокі селектар — не дазвол. Калі падтрымліваемая схема шырэйшая за палітыку праграмы, пакіньце вузкія сэрвісы ў правілах міжсеткавага экрана, а шыфраванне — там, дзе яно павінна быць.

Маршруты нагрузак Azure і зваротныя маршруты лакальнай сеткі разглядаюць асобна. Аб'явы BGP, статычны ахоп сеткі і маршруты, вызначаныя карыстальнікам, павінны апісваць адзін і той жа шлях, і ніводзін з іх не можа рэкурсіўна захопліваць транспарт партнёра.

Адкат і доказ, што ён спрацаваў

Захавайце папярэднюю працоўную канфігурацыю перад зменай селектараў і ведайце адзіную каманду, якая яе вяртае. На ASA гэта азначае захаваную копію і адпаведны шлях аднаўлення, а не ўспамін пра тое, што вы рэдагавалі. Запішыце каманду аднаўлення ў заяўку на змену, пакуль змена яшчэ гіпатэтычная. Затым паўтарыце тыя ж тры праверкі: стан IKE, пары IPsec SA, адзін дазволены паток на пару.

Калі пара ўсё яшчэ не працуе пасля аднаўлення, змена не была прычынай, і вы толькі што збераглі сябе ад другога збою.