Cisco ASA i Azure VPN: parau rhagddodiad detholwyr traffig

Mae'r twnnel yn codi, mae IKE yn edrych yn iach, ac nid oes dim yn croesi drwyddo. Dyna'r siâp arferol i broblem detholwr ASA i Azure, a dyna pam rwy'n ysgrifennu'r contract cyn cyffwrdd ag unrhyw un o'r ddau gonsol. Pedwar peth yw'r contract: y gwrthrychau sy'n adnabod pob cymar, y model cysylltu, y parau rhagddodiad union, a'r gwiriad sy'n profi pob pâr. Cewch y rhain yn anghywir ac mae pob gorchymyn diweddarach yn dadfygio cyfluniad na ddylech fod wedi'i adeiladu. Y runbook hwn yw'r drefn rwy'n ei defnyddio, gyda'r gorchmynion sy'n dangos pa wrthrych sydd wir yn anghywir.

Ysgrifennwch y pedwar gwrthrych cyn cyflunio

Dechreuwch gyda rhyddhau a phlatfform ASA, y pwynt terfyn cyhoeddus, math a SKU porth VPN Azure, a'r borth rhwydwaith lleol sy'n cynrychioli eich ochr chi. Y pedwar enw hyn yw geirfa popeth sy'n dilyn, ac mae gan bob un perchennog gwahanol pan fydd rhywbeth yn torri.

Os yw dau ohonynt yn dal i fod yn ddyfaliad, stopiwch. Nid yw rhestr ragddodiadau anghywir ar y borth rhwydwaith lleol yn broblem tiwnio.

Dewiswch un model cysylltu a stopiwch gymysgu templedi

Mae cynllun crypto map a chynllun tunnel interface yn gyfluniadau gwahanol, ac nid yw templed ar gyfer y naill yn dod yn ddilys i'r llall drwy olygu cyfeiriad y cymar. Cofnodwch pa un rydych chi'n ei adeiladu cyn gludo unrhyw beth, oherwydd mae'r anghysondeb yn ymddangos yn ddiweddarach fel problem detholwr yn hytrach nag fel gwall cyfluniad. Mae canllaw rhyngweithrediad ASA Microsoft yn ymdrin â'r ddau batrwm ac yn nodi pa fodel porth Azure y mae pob un yn ei dybio. Os nad yw eich nodiadau'n enwi'r model, nid oes gennych gynllun eto.

Mae porth Azure sy'n seiliedig ar lwybrau gyda detholwyr traffig sy'n seiliedig ar bolisi yn opsiwn dogfennol penodol, nid y rhagosodedig. Os yw eich cynllun yn dibynnu arno, rhaid i'r cynllun ddweud hynny, oherwydd mae'r model detholwyr rhagosodedig sy'n seiliedig ar lwybrau yn ymddwyn yn wahanol ar ochr Azure.

Mae terfynau fersiwn yn perthyn i'r contract hefyd. Mae hen adroddiad maes am derfyn ar barthau amgryptio yn ddata am ryddhadau penodol, nid yn briodwedd barhaol i bob ASA.

Rhestrwch y parau rhagddodiad, nid yr agregau

Ysgrifennwch y matrics. Mae A a B lleol i X ac Y Azure yn bedwar pâr, ac mae angen naill ai sylw neu eithrio penodol ar bob un. Mae colapsio A a B yn un agreg yn cynnwys popeth sydd rhyngddynt hefyd, a dyna sut mae cynllun yn magu twll yn dawel.

Edrychwch ar yr hyn y mae'r cymheiriaid wedi'i drafod, nid ar yr hyn rydych chi wedi'i gadw. Mae rhestr rhwydweithiau lleol ac anghysbell ar yr ASA yn fwriad; y CHILD SA yw'r canlyniad.

Pan fydd pâr ar goll, yr atgyweiriaeth fel arfer yw llinell access-list neu gofnod detholwr, nid twnnel newydd.

Gwiriwch â gorchmynion sy'n enwi'r gwrthrych

Ar yr ASA, cadarnhewch y sesiwn IKE, yna'r IPsec SA, yna'r parau detholwr. Mae pob gorchymyn yn ateb cwestiwn gwahanol, a rhedeg y cyntaf yn unig yw sut mae'r gosodiad bod y twnnel i fyny yn dod yn gasgliad ffug. Darllenwch yr allbwn ar gyfer y cymar a gyfluniwyd gennych mewn gwirionedd, nid ar gyfer pa bynnag SA sy'n digwydd bod yn gyntaf ar y rhestr. Mae ochr Azure yn ateb yr un tri chwestiwn o'i safbwynt ei hun.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Yna gofynnwch i Azure am gyflwr y cysylltiad gyda az network vpn-connection show --name <connection> --query connectionStatus. Mae Connected gyda sero beit yn y llwybr data yn broblem detholwr, nid yn broblem llwybro.

Profwch un llif a ganiateir fesul pâr, archwiliwch y cyfeiriad ffynhonnell a welir ar yr ochr arall, a rhowch gynnig ar un adnodd y dylid ei wrthod. Y prawf olaf hwnnw yw'r unig un sy'n profi bod y ffin yn dal i fodoli.

Cadwch gwmpas amgryptio ar wahân i ganiatâd mynediad

Nid yw detholwr eang yn ganiatâd. Os yw'r cynllun a gefnogir yn ehangach na pholisi'r cymhwysiad, cadwch y gwasanaethau cul yn rheolau'r wal dân a gadael y cwmpas amgryptio lle mae'n rhaid iddo fod.

Mae llwybrau llwyth gwaith Azure a llwybrau dychwelyd lleol yn cael eu hadolygu ar wahân. Rhaid i hysbysiadau BGP, cwmpas rhwydwaith statig a llwybrau a ddiffiniwyd gan y defnyddiwr i gyd ddisgrifio'r un llwybr, ac ni chaiff yr un ohonynt ddal trafnidiaeth y cymar yn ailadroddus.

Rholio'n ôl a'r prawf ei fod wedi gweithio

Cadwch y cyfluniad rhedegol blaenorol cyn newid detholwyr, a gwybod yr un gorchymyn sy'n ei roi yn ôl. Ar yr ASA mae hynny'n golygu copi wedi'i gadw a'r llwybr adfer cyfatebol, nid cof am yr hyn a olygwyd gennych. Ysgrifennwch y gorchymyn adfer yn y tocyn newid tra bo'r newid yn dal yn ddamcaniaethol. Yna rhedegwch yr un tri gwiriad eto: cyflwr IKE, parau IPsec SA, un llif a ganiateir fesul pâr.

Os yw pâr yn dal i fethu ar ôl yr adferiad, nid y newid oedd yr achos, ac rydych newydd arbed ail fethiant i chi'ch hun.