Cisco ASA tunelizovana podrazumijevana ruta: kada se zapravo primjenjuje

Korisnik udaljenog pristupa ne može doći ni do čega iza ASA, dok isti server odgovara na ping iz interne LAN mreže. Tunel se podiže, klijent dobija adresu iz poola, a paket ipak izlazi kroz internet podrazumijevanu rutu ili nestaje. Takav obrazac obično znači da dešifrovani saobraćaj nije našao vlastitu rutu i pao je na običnu podrazumijevanu rutu. Popravka nije još jedno NAT pravilo; to je tunelizovana podrazumijevana ruta.

Počnite od simptoma, ne od konfiguracije

Gledajte gdje paket ide, a ne gdje ste očekivali da ide. Snimak na vanjskom interfejsu tokom neuspješne sesije pokazuje dešifrovani paket kako ide ka ISP gatewayu s netaknutom adresom iz poola, ili ne pokazuje ništa jer je pretraga neuspješna. U oba slučaja tunel nije problem.

Tunel izgleda zdravo u show vpn-sessiondb i upravo zato ljudi nastavljaju da debaguju IKE.

Ono što ovo razlikuje od ACL odbacivanja je smjer. ACL odbacivanje se loguje i broji, dok ruta koja nedostaje daje neuspješnu pretragu bez odgovarajućeg unosa. Pokrenite show route za odredište klijenta i pročitajte šta je ASA zapravo izabrala, uključujući da li je izabrana podrazumijevana ruta i koja.

Kako se tunelizovana pretraga razlikuje

Ciscov vodič za statičko rutiranje u ASA 9.23 opisuje odvojenu podrazumijevanu rutu za dešifrovani VPN saobraćaj koji nema statičku ili naučenu rutu. Ključna riječ tunneled označava tu rutu, pa dešifrovani paket može pasti na drugi sljedeći hop od onog koji ASA koristi za vlastiti transport. Konkretnije rute i dalje pobjeđuju, zbog čega klijent može doći do 10.0.0.0/8 kroz interni gateway i izgubiti sve ostalo.

Minimalni raspored drži dvije podrazumijevane rute s različitim sljedećim hopovima. Jedna nosi vlastiti saobraćaj ASA, a druga nosi dešifrovani saobraćaj koji nema bolju rutu. Oba sljedeća hopa i dalje moraju biti dostupna s interfejsa na koji ih kačite.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Ako obje podrazumijevane rute pokazuju na isti sljedeći hop, ključna riječ ne mijenja ništa i simptom se neće pomjeriti.

Ograničenja koja odlučuju da li će raditi

Isti vodič dopušta samo jednu tunelizovanu podrazumijevanu rutu i navodi da ECMP nije podržan za nju, pa ne možete dijeliti opterećenje po tom putu. Također navodi ograničenja vezana za praćenje ruta, provjeru obrnutog puta i neke inspekcijske i upravljačke tokove. Pročitajte ih prema instaliranom izdanju prije nego što projektujete oko te funkcije. Dizajn koji ih zanemari obično pada na jednom konkretnom mjestu, a ne svuda, i zato simptom izgleda povremen.

Provjera obrnutog puta je ona koja ujeda u asimetričnim dizajnima. Ako bi odgovor stigao kroz drugi interfejs nego što ASA očekuje, paket se odbacuje prije nego što rutiranje uopšte postane važno. Popravite topologiju ili povratni put umjesto da isključite provjeru da biste natjerali sljedeći hop.

Praćenje ruta je odvojena zamka: praćeni objekat obično čuva običnu podrazumijevanu rutu, a ne tunelizovanu.

Šta ključna riječ ne radi

Ona ne bira izvornu adresu koju ASA koristi za izgradnju IKE. Vanjska krajnja tačka tunela slijedi vlastiti izbor interfejsa i izvora platforme, a tunelizovana podrazumijevana ruta nema udjela u toj odluci. Njena promjena neće popraviti phase 1 koji dolazi s pogrešne adrese.

Ona također ne pretvara sljedeći hop u proxy. Ako odredište očekuje HTTP CONNECT razmjenu, slanje sirovih IP paketa na proxy host daje vam samo host koji ih ne rutira. Konfigurišite umjesto toga proxy mehanizam koji klijent podržava.

I ne stvara prosljeđivanje niz tok. Gateway na koji pokazujete i dalje treba rutu nazad do VPN poola, plus prevođenje izvora gdje dizajn to zahtijeva.

Provjerite put od početka do kraja

Nakon što je ruta na mjestu, provjerite četiri stvari po redu: show route za odredište koje je poola potrebno, snimak na interfejsu ka novom sljedećem hopu, snimak na samom gatewayu i povratni put od tog gatewaya do adrese poola. Prve dvije dokazuju da je ASA izabrala put, a posljednje dvije da neko na njemu odgovara.

Ako gateway odgovara ali klijent nikada ne vidi odgovor, pogledajte prevođenje izvora i povratnu rutu prije nego što ponovo dirate tabelu rutiranja.

Zapišite izdanje na kojem ste validirali, jer je lista ograničenja specifična za verziju i dizajn koji radi na jednom treningu može zahtijevati drugačiji put na drugom. Ta bilješka živi duže od konfiguracijskog isječka.