Llwybr diofyn twneli Cisco ASA: pryd mae'n wirioneddol berthnasol

Ni all defnyddiwr mynediad o bell gyrraedd dim tu hwnt i'r ASA tra bo'r un gweinydd yn ateb ping o'r LAN mewnol. Mae'r twnnel yn codi, mae'r cleient yn cael cyfeiriad o'r pwll, ac mae'r pecyn yn dal i adael drwy lwybr diofyn y rhyngrwyd neu'n diflannu. Mae'r patrwm hwn fel arfer yn golygu nad oedd y traffig dadgrypt wedi dod o hyd i lwybr ei hun ac wedi disgyn i'r llwybr diofyn arferol. Nid rheol NAT arall yw'r atgyweiriad; y llwybr diofyn twneli yw'r atgyweiriad.

Dechreuwch gyda'r symptom, nid y ffurfweddiad

Gwyliwch i ble mae'r pecyn yn mynd yn hytrach na ble roeddech yn disgwyl iddo fynd. Mae cipiad ar y rhyngwyneb allanol yn ystod sesiwn aflwyddiannus yn dangos y pecyn dadgrypt yn anelu at giât y darparwr gyda chyfeiriad y pwll yn dal yn gyfan, neu'n dangos dim o gwbl oherwydd bod yr edrychiad wedi methu. Naill ffordd neu'r llall, nid y twnnel yw'r broblem.

Mae'r twnnel yn edrych yn iach yn show vpn-sessiondb, a dyna'n union pam mae pobl yn dal i ddadfygio IKE.

Yr hyn sy'n gwahanu hyn oddi wrth ollwng ACL yw cyfeiriad. Mae ollwng ACL yn cael ei logio a'i gyfrif, tra bo llwybr ar goll yn cynhyrchu methiant edrychiad heb unrhyw gofnod cyfatebol. Rhedegwch show route ar gyfer cyrchfan y cleient a darllenwch beth a ddewisodd yr ASA mewn gwirionedd, gan gynnwys a ddewiswyd llwybr diofyn a pha un.

Sut mae'r edrychiad twneli yn wahanol

Mae ganllaw llwybro statig ASA 9.23 Cisco yn dogfennu llwybr diofyn ar wahân ar gyfer traffig VPN dadgrypt heb lwybr statig na dysgedig. Mae'r gair allweddol tunneled yn nodi'r llwybr hwnnw, felly gall pecyn dadgrypt ddisgyn i neidle nesaf wahanol i'r un y mae'r ASA yn ei ddefnyddio ar gyfer ei gludiant ei hun. Mae llwybrau mwy penodol yn dal i ennill, a dyna pam gall cleient gyrraedd 10.0.0.0/8 drwy'r giât fewnol a cholli popeth arall.

Mae cynllun bychan yn cadw dau lwybr diofyn gyda neidiau nesaf gwahanol. Mae un yn cario traffig yr ASA ei hun, ac mae un yn cario traffig dadgrypt heb lwybr gwell. Mae'n rhaid i'r ddau neidle nesaf fod yn gyrraeddadwy o'r rhyngwyneb rydych chi'n eu cysylltu ag ef.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Os yw'r ddau lwybr diofyn yn pwyntio at yr un neidle nesaf, nid yw'r gair allweddol yn newid dim ac ni fydd y symptom yn symud.

Y cyfyngiadau sy'n penderfynu a fydd yn gweithio

Mae'r un canllaw yn caniatáu dim ond un llwybr diofyn twneli ac yn nodi nad yw ECMP yn cael ei gefnogi ar ei gyfer, felly ni allwch rannu'r llwyth ar y llwybr hwnnw. Mae hefyd yn rhestru cyfyngiadau yn ymwneud â thracio llwybrau, gwirio llwybr cefn, a rhai ffrydiau archwilio a rheoli. Darllenwch y rhain yn erbyn y fersiwn sydd wedi'i osod cyn i chi gynllunio o amgylch y nodwedd. Mae cynllun sy'n eu hanwybyddu fel arfer yn methu mewn un man penodol yn hytrach nag ym mhobman, a dyna pam mae'r symptom yn edrych yn ysbeidiol.

Gwirio llwybr cefn yw'r un sy'n brathu mewn cynlluniau anghymesur. Os byddai'r ateb yn cyrraedd drwy ryngwyneb gwahanol i'r un y mae'r ASA yn ei ddisgwyl, mae'r pecyn yn cael ei ollwng cyn i lwybro fod yn berthnasol. Trwsiwch y topoleg neu'r llwybr dychwelyd yn hytrach na diffodd y gwiriad i orfodi neidle nesaf.

Mae tracio llwybrau yn fagl ar wahân: mae'r gwrthrych a draciwyd fel arfer yn gwarchod y llwybr diofyn arferol, nid yr un twneli.

Beth nad yw'r gair allweddol yn ei wneud

Nid yw'n dewis y cyfeiriad ffynhonnell y mae'r ASA yn ei ddefnyddio i adeiladu IKE. Mae pwynt diwedd allanol y twnnel yn dilyn dewis rhyngwyneb a ffynhonnell y platfform ei hun, ac nid oes gan y llwybr diofyn twneli ran yn y penderfyniad hwnnw. Ni fydd ei newid yn atgyweirio phase 1 sy'n tarddu o'r cyfeiriad anghywir.

Nid yw ychwaith yn troi'r neidle nesaf yn ddirprwy. Os yw'r gyrchfan yn disgwyl cyfnewid HTTP CONNECT, dim ond gwesteiwr nad yw'n eu llwybro y mae anfon pecynnau IP crai at westeiwr dirprwy yn ei roi i chi. Ffurfweddwch fecanwaith dirprwy a gefnogir gan y cleient yn lle hynny.

Ac nid yw'n creu anfon i lawr yr afon. Mae'r giât rydych chi'n pwyntio ati yn dal angen llwybr yn ôl i bwll y VPN, ynghyd â chyfieithu ffynhonnell lle mae'r cynllun yn gofyn amdano.

Gwiriwch y llwybr o'r dechrau i'r diwedd

Ar ôl i'r llwybr fod yn ei le, gwiriwch bedwar peth yn eu trefn: show route ar gyfer cyrchfan sydd ei angen ar y pwll, cipiad ar y rhyngwyneb tuag at y neidle nesaf newydd, cipiad ar y giât ei hun, a llwybr dychwelyd o'r giât honno i gyfeiriad y pwll. Mae'r ddau gyntaf yn profi bod yr ASA wedi dewis y llwybr, ac mae'r ddau olaf yn profi bod rhywun yn ateb arno.

Os yw'r giât yn ateb ond nad yw'r cleient byth yn gweld ateb, edrychwch ar gyfieithu ffynhonnell a'r llwybr ateb cyn i chi gyffwrdd â'r tabl llwybro eto.

Cofnodwch y fersiwn y gwnaethoch ei ddilysu arno, oherwydd mae'r rhestr cyfyngiadau yn benodol i fersiwn a gall cynllun sy'n gweithio ar un trên fod angen llwybr gwahanol ar un arall. Mae'r nodyn hwnnw yn byw yn hwy na'r darn ffurfweddu.