Relé DHCP ASA dros VPN safle-i-safle: taith gam wrth gam

Mae’r relé yn gweithio mewn tair coes, a dim ond yr un ganol sy’n croesi’r VPN. Mae cleient yn darlledu ar segment y gangen, mae’r ASA yn troi’r darllediad hwnnw’n gais unicast i’r gweinydd DHCP, ac mae’r gweinydd yn ateb cyfeiriad y relé yn hytrach na’r cleient. Cerddwch y coesau yn y drefn honno, ac mae’r rhan fwyaf o achosion «mae’r relé wedi torri» yn dod i lawr i bolisi ar goll neu linell setroute a ddarllenwyd yn anghywir.

Coes un: galluogi relé ar y rhyngwyneb sy’n wynebu’r cleient

Ar ASA’r gangen, mae relé yn briodwedd o’r rhyngwyneb sy’n wynebu’r cleientiaid. Gellir datgan y gweinydd yn fyd-eang gyda’i ryngwyneb cyrraeddadwy, neu o dan y rhyngwyneb hwnnw sy’n wynebu’r cleient fel bod y tabl llwybro yn dewis yr allanfa. Nid yw’r ddwy ffurf yn gyfnewidiol, a chopïo’r un anghywir yw’r fan gyntaf lle mae taith yn mynd o chwith.

Gwiriwch y ffurfweddiad rhedegol cyn newid unrhyw beth: pa ryngwyneb sydd â relé wedi’i alluogi, pa ffurf gweinydd sydd yn bresennol, ac a yw setroute ynghlwm wrth ryngwyneb y cleient. Os yw’r ASA hefyd yn rhedeg gweinydd DHCP ar gyfer segment arall, stopiwch a darllenwch y rhestr gyfyngiadau; ni ellir galluogi gweinydd a relé ar yr un blwch.

Mae’r relé yn rhoi ei gyfeiriad ei hun sy’n wynebu’r cleient yn y maes cyfeiriad porth. Y cyfeiriad hwnnw yw’r un y bydd y gweinydd yn ateb arno, felly rhaid iddo fod yn gyrraeddadwy o’r safle pell dros y twmffat, nid yn lleol yn unig.

Coes dau: cario traffig a gynhyrchir gan yr ASA dros y twmffat

Dyma’r cam mae pobl yn ei hepgor. Mae VPN safle-i-safle sy’n seiliedig ar bolisi fel arfer yn cael ei adeiladu ar gyfer traffig rhwng is-rwydweithiau, a’r ASA ei hun sy’n cynhyrchu’r cais relé. Os yw rhestr fynediad y twmffat a’r map crypto yn cyd-fynd â ffrydiau o westai’r gangen i is-rwydwaith y gweinydd yn unig, efallai na fydd pecyn y relé byth yn mynd i mewn i’r twmffat. Gwiriwch y rhestr fynediad yn y ddau gyfeiriad, nid y llinell o’r gangen i’r gweinydd yn unig.

Cadarnhewch fod y traffig diddorol yn cynnwys ffynhonnell relé’r ASA a chyfeiriad y gweinydd, a bod y cyfeiriad dychwelyd yn cael ei ganiatáu hefyd. Mewn cynllun sy’n seiliedig ar VTI mae’r penderfyniad llwybro yn symlach, ond daeth cymorth relé dros VTI mewn rhyddhau penodol; canllaw DHCP yr ASA yn nodi 9.14(1), felly gwiriwch y ddelwedd cyn copïo enghraifft VTI i ddyfais hŷn.

Ychydig y mae ping o’r ASA i’r gweinydd yn ei brofi ar ei ben ei hun. Gall lwyddo drwy lwybr gwahanol, gyda chyfeiriad ffynhonnell gwahanol, neu o dan bolisi nad yw pecynnau’r relé yn cyd-fynd ag ef.

Coes tri: darllenwch yr ateb a’r opsiwn setroute

Mae RFC 2131 yn dweud bod y gweinydd yn anfon ei ateb i’r cyfeiriad yn giaddr pan fo’r maes hwnnw’n ansero. Felly rhaid i’r llwybr dychwelyd lwybro i gyfeiriad y relé, a rhaid i bolisi’r twmffat ganiatáu’r cyfeiriad o’r gweinydd i’r relé. Os aeth y cais drwodd ond ni ddaeth y cynnig byth, dyma lle i chwilio.

Yna gwahanwch ddau beth sy’n swnio’n debyg. Mae’r allweddair setroute yn newid neu’n ychwanegu’r opsiwn llwybrydd diofyn y mae’r ASA yn ei roi i’r cleient. Nid yw’n gosod llwybr ar yr ASA ac nid yw’n creu polisi VPN. Mae cleient sy’n cael cyfeiriad ond na all gyrraedd unrhyw beth yn aml â phroblem setroute neu gwmpas, nid problem twmffat. Profwch hyn gyda chleient heb borth diofyn statig a gwyliwch pa lwybrydd diofyn sy’n ymddangos yn y cynnig.

Darllenwch y cynnig o’r dechrau i’r diwedd: cyfeiriad a gynigir, mwgwd, llwybrydd diofyn, DNS, ac amser les. Yna gadewch i’r les adnewyddu. Mae relé sy’n gweithio unwaith ac yn methu wrth adnewyddu fel arfer â phroblem cwmpas, les, neu lwybr dychwelyd a guddiwyd gan y gyfnewid gyntaf.

Beth rwy’n ei wirio cyn dweud ei fod wedi’i drwsio

Dechreuwch o’r cleient a chofnodwch y darllediad, yna cadarnhewch fod yr ASA wedi’i ailgyfeirio â’i gyfeiriad ei hun fel giaddr. Ar yr ochr bell, cadarnhewch fod y gweinydd wedi gweld y cais hwnnw ac wedi dewis cwmpas sy’n cyd-fynd â’r gangen. Yn ôl yn y gangen, cadarnhewch fod y cleient wedi derbyn y cynnig ac yn gallu cyrraedd ei borth.

Os yw unrhyw goes yn dawel, gwiriwch y polisi neu’r llwybr cyfatebol yn hytrach nag ychwanegu datganiad relé arall. Mae ffurfweddiad y relé fel arfer yn iawn erbyn i rywun esgyn y mater; y polisi twmffat neu’r llwybr dychwelyd sydd wedi newid.

Ysgrifennwch y tair coes yn y cofnod newid: rhyngwyneb sy’n wynebu’r cleient, polisi VPN sy’n cynnwys traffig relé, a llwybr dychwelyd y gweinydd i giaddr. Y cofnod hwnnw sy’n gwneud adeiladiad y gangen nesaf yn waith ailadroddadwy yn hytrach na sesiwn dadfygio. Mae hefyd yn dweud wrth y peiriannydd nesaf pa allbwn gorchymyn i’w gasglu gyntaf.