Com modelar un flux VPN amb ASA packet-tracer

Packet-tracer en un ASA respon una pregunta estreta: es permetria aquest paquet, que entra aquí amb aquesta tupla, i on aniria. No respon si l'extrem llunyà rep res. L'error habitual és introduir una tupla IKE exterior quan allò que voleu provar és l'aplicació que viatja dins del túnel. Corregiu primer la tupla, llegiu les fases i després obteniu proves reals de tot el que el simulador no pot veure.

El recorregut següent assumeix que teniu al davant l'ACL, la regla NAT i el context de tunnel-group. Sense ells, la sortida descriu una política que no podeu comprovar.

Pas 1: escriviu el flux interior en paraules planeres

Descrigueu l'aplicació abans d'escriure res. Un host de dins que obre SSH cap a un servidor darrere la passarel·la llunyana és un flux TCP interior amb un port d'origen concret. Aquest és el flux que avaluen l'ACL i el filtre VPN, així que aquest és el flux que escriviu.

Escriviu-lo com una frase i després traduïu-lo camp per camp:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Pas 2: trieu l'entrada i la direcció

L'entrada és la interfície per on arriba el paquet, no la que abandona. Per a un host LAN que inicia, és la interfície inside. Per al paquet de retorn de la mateixa sessió, és la interfície outside, i la tupla s'inverteix. Escriure la destinació com a origen és la segona manera més habitual d'obtenir un ALLOW convincent però irrellevant.

Els ports també tenen direcció. El port del servei pertany al camp de destinació en una sol·licitud iniciada, i el port efímer del client pertany al camp d'origen. Un model amb destinació TCP 500 descriu una aplicació TCP que escolta al 500; no es converteix en una prova IKE només perquè el número aparegui a l'ordre.

Pas 3: llegiu les fases en ordre

Cada fase de la sortida és una decisió amb un propietari: consulta de ruta, ACL, NAT i després selecció de VPN o túnel. Llegiu-les en l'ordre imprès i atureu-vos a la primera fase que discrepi del disseny.

NAT atrapa molta gent. Si l'origen traduït cau fora de la crypto ACL que selecciona el trànsit per al túnel, el flux pot ser permès i mai encapsulat. El traçament imprimeix l'adreça traduïda, així que compareu-la amb el trànsit interessant del túnel i no amb l'adreça original.

Pas 4: comproveu quines omissions heu seleccionat

La forma detailed accepta opcions que salten comprovacions, i Cisco documenta una opció bypass-checks que cobreix ACL, filtre VPN, uRPF i comprovacions de suplantació IPsec. Un ALLOW obtingut amb aquestes omeses diu que la ruta i el NAT funcionarien, no que la política admetria un paquet real. Anoteu les opcions al costat del resultat.

Si necessiteu la resposta de política, executeu-lo sense les omissions. Si aïlleu una pregunta d'encaminament, executeu-lo amb elles i etiqueteu el resultat com a resposta d'encaminament.

Pas 5: tanqueu la diferència amb l'intercanvi real

Un permís simulat s'atura a l'ASA. Si la passarel·la llunyana ha desxifrat el paquet, si el servidor ha acceptat la connexió i si ha tornat una resposta són observacions separades. Feu servir comptadors d'extrem o una captura estreta en un camí aprovat.

Algunes opcions de trace i replay transmeten paquets o conserven estat. Seguiu el comportament documentat per a la vostra versió i el procediment de diagnòstic aprovat en lloc de tractar cada variant com una consulta només de lectura.

Què encara no us pot dir el traçament

Guardeu quatre coses en una nota: la tupla, la regla NAT coincident, el túnel o la política que hauria de portar el flux i l'observació específica de la direcció. Sense elles, un enginyer posterior no pot separar una decisió local de política d'un pla de control establert i d'un servei que funciona. Un primer fracàs seguit d'un èxit tampoc no demostra que el túnel hagués de pujar entremig; anoteu la fase i el canvi d'estat.

Comenceu per la tupla interior, atureu-vos a la primera fase que contradigui el disseny i només llavors aneu a buscar proves d'extrem. El traçament és un oracle de política, no un justificant de lliurament.