Як мадэляваць паток VPN з дапамогай ASA packet-tracer

Packet-tracer на ASA адказвае на вузкае пытанне: ці будзе гэты пакет, які ўваходзіць тут з гэтым картэжам, дазволены і куды ён пойдзе. Ён не адказвае, ці атрымае далёкі бок хоць што-небудзь. Звычайная памылка — падаваць знешні картэж IKE, калі тое, што вы хочаце праверыць, — гэта праграма, якая едзе ўнутры тунеля. Спачатку выпраўце картэж, прачытайце фазы, а затым атрымайце рэальныя доказы для ўсяго, чаго сімулятар не бачыць.

Наступны разбор мяркуе, што ACL, правіла NAT і кантэкст tunnel-group перад вамі. Без іх вывад апісвае палітыку, якую вы не можаце праверыць.

Крок 1: запішыце ўнутраны паток простымі словамі

Апішыце праграму, перш чым нешта ўводзіць. Хост унутры, які адкрывае SSH да сервера за далёкім шлюзам, — гэта адзін унутраны паток TCP з пэўным партом крыніцы. Гэта менавіта той паток, які ацэньваюць ACL і фільтр VPN, таму менавіта яго вы ўводзіце.

Запішыце гэта сказам, а затым перакладзіце поле за полем:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Крок 2: выберыце ўваходны інтэрфейс і кірунак

Уваход — гэта інтэрфейс, на які прыходзіць пакет, а не той, праз які ён сыходзіць. Для хоста LAN, які пачынае, гэта інтэрфейс inside. Для пакета адказу той жа сесіі гэта інтэрфейс outside, і картэж перавяртаецца. Запіс мэты як крыніцы — другі найбольш распаўсюджаны спосаб атрымаць пераканальны, але недатычны ALLOW.

Парты таксама маюць кірунак. Парт службы належыць полю мэты для ініцыяванага запыту, а эфемерны парт кліента належыць полю крыніцы. Мадэль з мэтай TCP 500 апісвае праграму TCP, якая слухае 500; яна не робіцца тэстам IKE толькі таму, што лік з'явіўся ў камандзе.

Крок 3: чытайце фазы па парадку

Кожная фаза ў вывадзе — гэта рашэнне з уласнікам: пошук маршруту, ACL, NAT, затым выбар VPN або тунеля. Чытайце іх у надрукаваным парадку і спыніцеся на першай фазе, якая супярэчыць праекту.

NAT часта ставіць людзей у тупік. Калі перакладзеная крыніца апынаецца па-за crypto ACL, які выбірае трафік для тунеля, патоку могуць дазволіць і ніколі не інкапсуляваць. Трасоўка друкуе перакладзены адрас, таму параўнайце яго з цікавым трафікам тунеля, а не з зыходным адрасам.

Крок 4: праверце, якія абыходы вы выбралі

Форма detailed прымае опцыі, якія прапускаюць праверкі, і Cisco дакументуе опцыю bypass-checks, якая ахоплівае ACL, фільтр VPN, uRPF і праверкі падробкі IPsec. ALLOW, атрыманы з імі, кажа, што маршрут і NAT будуць працаваць, а не што палітыка прыме рэальны пакет. Запішыце опцыі побач з вынікам.

Калі патрэбны адказ палітыкі, запусціце без абыходаў. Калі вы ізалюеце пытанне маршрутызацыі, запусціце з імі і пазначце вынік як адказ па маршрутызацыі.

Крок 5: закрыйце разрыў рэальным абменам

Сімуляваны дазвол спыняецца на ASA. Ці расшыфраваў далёкі шлюз пакет, ці прыняў сервер злучэнне і ці вярнуўся адказ — гэта асобныя назіранні. Выкарыстоўвайце лічыльнікі канцавых пунктаў або вузкі захоп на зацверджаным шляху.

Некаторыя опцыі trace і replay перадаюць пакеты або захоўваюць стан. Ідзіце за дакументаванымі паводзінамі для вашай версіі і зацверджанай дыягнастычнай працэдуры, замест таго каб трактаваць кожны варыянт як чытанне.

Што трасоўка ўсё яшчэ не можа вам сказаць

Трымайце чатыры рэчы ў адной нататцы: картэж, супастаўленае правіла NAT, тунель або палітыку, якая павінна несці паток, і назіранне, спецыфічнае для кірунку. Без іх пазнейшы інжынер не зможа аддзяліць лакальнае рашэнне палітыкі ад усталяванай плоскасці кіравання і працуючай службы. Першая няўдача, за якой ідзе поспех, таксама не доказ, што тунель мусіў узняцца паміж імі; запішыце фазу і змену стану.

Пачніце з унутранага картэжа, спыніцеся на першай фазе, якая супярэчыць праекту, і толькі потым звярніцеся да доказаў канцавых пунктаў. Трасоўка — гэта аракул палітыкі, а не квіток дастаўкі.