ASA packet-tracer দিয়ে VPN প্রবাহ কীভাবে মডেল করবেন

ASA-তে packet-tracer একটি সংকীর্ণ প্রশ্নের উত্তর দেয়: এই প্যাকেটটি, এখানে এই টাপল নিয়ে ঢুকলে, অনুমোদিত হবে কি, এবং এটি কোথায় যাবে। এটি উত্তর দেয় না যে দূরের প্রান্ত কিছু পায় কি না। সাধারণ ভুল হল বাইরের IKE টাপল খাওয়ানো, যখন আপনি যা পরীক্ষা করতে চান তা হল টানেলের ভেতরে চলা অ্যাপ্লিকেশন। আগে টাপল ঠিক করুন, পর্যায়গুলো পড়ুন, তারপর সিমুলেটর যা দেখতে পারে না তার সবকিছুর জন্য বাস্তব প্রমাণ নিন।

নিচের হাঁটাপথটি ধরে নেয় যে ACL, NAT নিয়ম ও tunnel-group প্রসঙ্গ আপনার সামনে আছে। সেগুলো ছাড়া আউটপুট এমন একটি নীতি বর্ণনা করে যা আপনি যাচাই করতে পারবেন না।

ধাপ 1: ভেতরের প্রবাহ সহজ ভাষায় লিখুন

কিছু টাইপ করার আগে অ্যাপ্লিকেশনটি বর্ণনা করুন। ভেতরের একটি হোস্ট যখন দূরের গেটওয়ের পিছনের সার্ভারে SSH খোলে, তা নির্দিষ্ট সোর্স পোর্টসহ একটি ভেতরের TCP প্রবাহ। এটিই সেই প্রবাহ যা ACL ও VPN ফিল্টার মূল্যায়ন করে, তাই এটিই আপনি টাইপ করেন।

এটি একটি বাক্য হিসেবে লিখুন, তারপর ক্ষেত্র ধরে ধরে অনুবাদ করুন:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

ধাপ 2: ইনগ্রেস ও দিক বাছুন

ইনগ্রেস হল যে ইন্টারফেসে প্যাকেট আসে, যে ইন্টারফেস দিয়ে তা বেরোয় তা নয়। যে LAN হোস্ট শুরু করছে, তার জন্য এটি inside ইন্টারফেস। একই সেশনের ফিরতি প্যাকেটের জন্য এটি outside ইন্টারফেস, এবং টাপল উল্টে যায়। গন্তব্যটি সোর্স হিসেবে লেখা হল বিশ্বাসযোগ্য কিন্তু অপ্রাসঙ্গিক ALLOW পাওয়ার দ্বিতীয় সবচেয়ে সাধারণ উপায়।

পোর্টগুলোরও দিক আছে। শুরু করা অনুরোধে সার্ভিস পোর্টটি গন্তব্য ক্ষেত্রে থাকে, আর ক্লায়েন্টের ক্ষণস্থায়ী পোর্টটি সোর্স ক্ষেত্রে থাকে। TCP গন্তব্য 500 সম্বলিত একটি মডেল 500-এ শোনা একটি TCP অ্যাপ্লিকেশন বর্ণনা করে; কেবল কমান্ডে সংখ্যাটি দেখা গেলে তা IKE পরীক্ষায় পরিণত হয় না।

ধাপ 3: পর্যায়গুলো ক্রমানুসারে পড়ুন

আউটপুটের প্রতিটি পর্যায় একটি সিদ্ধান্ত যার একজন মালিক আছে: রুট অনুসন্ধান, ACL, NAT, তারপর VPN বা টানেল নির্বাচন। মুদ্রিত ক্রমে সেগুলো পড়ুন এবং নকশার সঙ্গে অসঙ্গত প্রথম পর্যায়ে থামুন।

NAT মানুষকে বিভ্রান্ত করে। যদি অনূদিত সোর্স টানেলের জন্য ট্রাফিক বাছাই করা crypto ACL-এর বাইরে পড়ে, তবে প্রবাহটি অনুমোদিত হতে পারে কিন্তু কখনও এনক্যাপসুলেট নাও হতে পারে। ট্রেসটি অনূদিত ঠিকানা ছাপে, তাই মূল ঠিকানার বদলে সেটি টানেলের আকর্ষণীয় ট্রাফিকের সঙ্গে তুলনা করুন।

ধাপ 4: আপনি কোন বাইপাস বেছেছেন তা যাচাই করুন

detailed রূপটি এমন বিকল্প নেয় যা যাচাই এড়িয়ে যায়, এবং Cisco এমন একটি bypass-checks বিকল্প নথিভুক্ত করে যা ACL, VPN ফিল্টার, uRPF ও IPsec স্পুফ যাচাই কভার করে। সেগুলো এড়িয়ে পাওয়া ALLOW বলে যে রুট ও NAT কাজ করবে, এই নয় যে নীতি সত্যিকারের প্যাকেট গ্রহণ করবে। ফলাফলের পাশে বিকল্পগুলো লিখে রাখুন।

আপনার যদি নীতির উত্তর দরকার হয়, বাইপাস ছাড়াই চালান। আপনি যদি রাউটিং প্রশ্ন আলাদা করেন, সেগুলোসহ চালান এবং ফলাফলটিকে রাউটিং উত্তর হিসেবে চিহ্নিত করুন।

ধাপ 5: বাস্তব বিনিময় দিয়ে ফাঁক বন্ধ করুন

সিমুলেটেড অনুমতি ASA-তে থামে। দূরের গেটওয়ে প্যাকেটটি ডিক্রিপ্ট করেছে কি, সার্ভার সংযোগটি গ্রহণ করেছে কি, এবং কোনো উত্তর ফিরে এসেছে কি, এগুলো আলাদা পর্যবেক্ষণ। এন্ডপয়েন্ট কাউন্টার ব্যবহার করুন বা অনুমোদিত পথে একটি সংকীর্ণ ক্যাপচার।

কিছু trace ও replay বিকল্প প্যাকেট পাঠায় বা অবস্থা সংরক্ষণ করে। প্রতিটি বৈকল্পিককে শুধু-পঠন অনুসন্ধান হিসেবে বিবেচনা না করে আপনার রিলিজ ও অনুমোদিত ডায়াগনস্টিক পদ্ধতির নথিভুক্ত আচরণ অনুসরণ করুন।

ট্রেস এখনও আপনাকে যা বলতে পারে না

একটি নোটে চারটি জিনিস রাখুন: টাপল, মিলে যাওয়া NAT নিয়ম, যে টানেল বা নীতি প্রবাহটি বহন করবে, এবং দিক-নির্দিষ্ট পর্যবেক্ষণ। সেগুলো ছাড়া পরবর্তী প্রকৌশলী স্থানীয় নীতি সিদ্ধান্তকে প্রতিষ্ঠিত কন্ট্রোল প্লেন ও কর্মরত সেবা থেকে আলাদা করতে পারবেন না। প্রথম ব্যর্থতার পর সাফল্য এই প্রমাণও নয় যে টানেলটি মাঝখানে উঠতেই হয়েছিল; পর্যায় ও অবস্থার পরিবর্তন লিখে রাখুন।

ভেতরের টাপল দিয়ে শুরু করুন, নকশার সঙ্গে সাংঘর্ষিক প্রথম পর্যায়ে থামুন, এবং কেবল তারপর এন্ডপয়েন্ট প্রমাণের দিকে হাত বাড়ান। ট্রেস একটি নীতি-অরাকল, কোনো ডেলিভারি রসিদ নয়।