Cisco ASA prema Azure VPN: parovi prefiksa saobraćajnih selektora

Tunel se podigne, IKE izgleda zdravo, a ništa kroz njega ne prolazi. To je uobičajen oblik problema sa selektorima ASA prema Azure i zato pišem ugovor prije nego što dotaknem bilo koju od dvije konzole. Ugovor su četiri stvari: objekti koji identifikuju svakog partnera, model veze, tačni parovi prefiksa i provjera koja dokazuje svaki par. Pogriješite li to, svaka kasnija komanda debaguje konfiguraciju koju niste trebali napraviti. Ovaj runbook je redoslijed koji koristim, zajedno s komandama koje pokazuju koji je objekat zaista pogrešan.

Zapišite četiri objekta prije konfigurisanja

Počnite s izdanjem i platformom ASA, javnom krajnjom tačkom, tipom i SKU Azure VPN gatewaya, te lokalnim mrežnim gatewayem koji predstavlja vašu stranu. Ta četiri imena su rječnik za sve što slijedi, a svako ima drugog vlasnika kada se nešto pokvari.

Ako su dva od njih još nagađanja, zaustavite se. Pogrešna lista prefiksa na lokalnom mrežnom gatewayu nije problem podešavanja.

Odaberite jedan model veze i prestanite miješati šablone

Dizajn s crypto map i dizajn s tunnel interface su različite konfiguracije, a šablon za jedan ne postaje valjan za drugi izmjenom adrese partnera. Zapišite koji gradite prije nego što bilo šta zalijepite, jer se nesklad kasnije pojavljuje kao problem sa selektorima, a ne kao konfiguracijska greška. Microsoftov vodič za interoperabilnost ASA pokriva oba obrasca i navodi koji model Azure gatewaya svaki pretpostavlja. Ako vaše bilješke ne imenuju model, još nemate dizajn.

Azure gateway zasnovan na rutama s policy-based selektorima saobraćaja je posebna dokumentovana opcija, a ne zadana. Ako vaš dizajn zavisi od nje, dizajn to mora reći, jer se zadani model selektora zasnovan na rutama ponaša drugačije na strani Azure.

Ograničenja verzija također pripadaju ugovoru. Stari terenski izvještaj o gornjoj granici enkripcijskih domena je podatak o određenim izdanjima, a ne trajno svojstvo svake ASA.

Navedite parove prefiksa, ne agregate

Napišite matricu. Lokalni A i B prema Azure X i Y su četiri para, a svakom treba ili pokrivenost ili izričito izuzimanje. Spajanje A i B u jedan agregat uključuje i sve što se nalazi između njih, i tako dizajn tiho dobije rupu.

Provjerite šta su partneri dogovorili, a ne šta ste sačuvali. Lista lokalnih i udaljenih mreža na ASA je namjera; CHILD SA su rezultat.

Kada par nedostaje, popravka je obično linija access-list ili unos selektora, a ne novi tunel.

Provjeravajte komandama koje imenuju objekat

Na ASA potvrdite IKE sesiju, zatim IPsec SA, zatim parove selektora. Svaka komanda odgovara na drugo pitanje, a pokretanje samo prve je način na koji tvrdnja da je tunel podignut postaje pogrešan zaključak. Čitajte izlaz za partnera kojeg ste zaista konfigurisali, a ne za onaj SA koji se slučajno nađe prvi na listi. Strana Azure odgovara na ista tri pitanja iz svog ugla.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Zatim pitajte Azure za stanje veze pomoću az network vpn-connection show --name <connection> --query connectionStatus. Connected s nula bajtova u putu podataka je problem selektora, a ne problem rutiranja.

Testirajte jedan dozvoljeni tok po paru, pregledajte izvornu adresu viđenu na drugoj strani i isprobajte jedan resurs koji bi trebao biti odbijen. Taj posljednji test jedini dokazuje da granica još postoji.

Držite obim enkripcije odvojeno od dozvole pristupa

Širok selektor nije dozvola. Ako je podržani raspored širi od politike aplikacije, zadržite uske servise u pravilima firewall-a i ostavite obim enkripcije tamo gdje mora biti.

Rute radnih opterećenja Azure i povratne rute lokalne mreže pregledaju se odvojeno. BGP najave, statički obim mreže i korisnički definirane rute moraju svi opisivati isti put, i nijedna od njih ne smije rekurzivno zahvatiti transport partnera.

Vraćanje i dokaz da je uspjelo

Sačuvajte prethodnu radnu konfiguraciju prije promjene selektora i znajte jednu komandu koja je vraća. Na ASA to znači sačuvanu kopiju i odgovarajući put oporavka, a ne sjećanje na ono što ste izmijenili. Upišite komandu za oporavak u tiket promjene dok je promjena još hipotetička. Zatim ponovo pokrenite iste tri provjere: stanje IKE, parovi IPsec SA, jedan dozvoljeni tok po paru.

Ako par i dalje ne radi nakon vraćanja, promjena nije bila uzrok i upravo ste sebi uštedjeli drugi prekid.