Tunelovaná výchozí trasa na Cisco ASA: kdy se skutečně uplatní

Uživatel vzdáleného přístupu se za ASA nedostane nikam, zatímco stejný server odpovídá na pingy z vnitřní LAN. Tunel se naváže, klient dostane adresu z poolu a paket přesto odchází přes internetovou výchozí trasu, nebo zmizí. Tento vzorec obvykle znamená, že dešifrovaný provoz nenašel vlastní trasu a propadl na běžnou výchozí trasu. Oprava není další NAT pravidlo; je to tunelovaná výchozí trasa.

Začněte symptomem, ne konfigurací

Sledujte, kam paket jde, ne kam jste čekali, že půjde. Zachycení na vnější rozhraní během neúspěšné relace ukáže dešifrovaný paket mířící k bráně poskytovatele s dosud neporušenou adresou z poolu, nebo neukáže nic, protože vyhledání selhalo. V obou případech není problém v tunelu.

Tunel vypadá ve show vpn-sessiondb zdravě, a právě proto lidé pořád ladí IKE.

To, co to odlišuje od shození ACL, je směr. Shození ACL se loguje a počítá, zatímco chybějící trasa vyprodukuje selhání vyhledání bez odpovídající položky. Spusťte show route pro cíl klienta a přečtěte si, co ASA skutečně vybrala, včetně toho, zda byla zvolena výchozí trasa a která.

Čím se tunelované vyhledání liší

Cisco ve své příručce ke statickému směrování v ASA 9.23 popisuje samostatnou výchozí trasu pro dešifrovaný provoz VPN, který nemá statickou ani naučenou trasu. Klíčové slovo tunneled tuto trasu označuje, takže dešifrovaný paket může propadnout na jiný další hop, než který ASA používá pro vlastní transport. Konkrétnější trasy stále vyhrávají, a proto se klient může dostat na 10.0.0.0/8 přes interní bránu a ztratit všechno ostatní.

Minimální uspořádání drží dvě výchozí trasy s různými dalšími hopy. Jedna nese vlastní provoz ASA a druhá dešifrovaný provoz, který nemá lepší trasu. Oba další hopy stále musí být dosažitelné z rozhraní, ke kterému je připojíte.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Pokud obě výchozí trasy ukazují na stejný další hop, klíčové slovo nic nemění a symptom se nepohne.

Omezení, která rozhodují, zda to bude fungovat

Stejná příručka povoluje jen jednu tunelovanou výchozí trasu a uvádí, že ECMP pro ni není podporováno, takže tu cestu nemůžete rozkládat zátěž. Uvádí také omezení týkající se sledování tras, ověřování zpětné cesty a některých inspekčních a řídicích toků. Přečtěte si je proti nainstalované verzi, než kolem funkce budete navrhovat. Návrh, který je ignoruje, obvykle selže na jednom konkrétním místě, ne všude, a proto symptom vypadá občasný.

Ověřování zpětné cesty je to, co kouše v asymetrických návrzích. Pokud by odpověď dorazila jiným rozhraním, než ASA očekává, paket se zahodí dřív, než směrování vůbec začne hrát roli. Opravte topologii nebo zpětnou cestu, místo abyste ověřování vypínali, abyste vynutili další hop.

Sledování tras je samostatná past: sledovaný objekt obvykle chrání běžnou výchozí trasu, ne tunelovanou.

Co klíčové slovo nedělá

Nevybírá zdrojovou adresu, kterou ASA používá k sestavení IKE. Vnější koncový bod tunelu se řídí vlastním výběrem rozhraní a zdroje platformy a tunelovaná výchozí trasa v tom rozhodnutí nehraje žádnou roli. Jeho změna neopraví phase 1, který vychází ze špatné adresy.

Také nedělá z dalšího hopu proxy. Pokud cíl očekává výměnu HTTP CONNECT, posílání surových IP paketů na proxy host vám dá jen host, který je nesměruje. Nakonfigurujte místo toho proxy mechanismus, který klient podporuje.

A nevytváří předávání po směru toku. Brána, na kterou ukazujete, stále potřebuje trasu zpět do poolu VPN, plus překlad zdroje tam, kde to návrh vyžaduje.

Ověřte cestu od začátku do konce

Když je trasa na místě, zkontrolujte čtyři věci v pořadí: show route pro cíl, který pool potřebuje, zachycení na rozhraní směrem k novému dalšímu hopu, zachycení na samotné bráně a zpětnou cestu z této brány na adresu poolu. První dvě dokazují, že ASA cestu zvolila, a poslední dvě, že na ní někdo odpovídá.

Pokud brána odpovídá, ale klient nikdy nevidí odpověď, podívejte se na překlad zdroje a zpětnou trasu, než znovu sáhnete na směrovací tabulku.

Zapište si verzi, na které jste to ověřili, protože seznam omezení je specifický pro verzi a návrh, který funguje na jedné řadě, může na jiné potřebovat jinou cestu. Ta poznámka přežije konfigurační úryvek.