Sut i fodelu llif VPN gyda ASA packet-tracer

Mae packet-tracer ar ASA yn ateb cwestiwn cul: a fyddai'r pecyn hwn, sy'n dod i mewn yma gyda'r tuple hwn, yn cael ei ganiatáu, ac i ble y byddai'n mynd. Nid yw'n ateb a yw'r pen pell yn derbyn unrhyw beth. Y camgymeriad arferol yw bwydo tuple IKE allanol pan mai'r peth rydych am ei brofi yw'r rhaglen sy'n teithio y tu mewn i'r twnnel. Cywirwch y tuple yn gyntaf, darllenwch y cyfnodau, ac yna casglwch dystiolaeth go iawn ar gyfer popeth na all y efelychydd ei weld.

Mae'r daith isod yn tybio bod yr ACL, y rheol NAT a chyd-destun tunnel-group o'ch blaen. Hebddyn nhw mae'r allbwn yn disgrifio polisi na allwch ei wirio.

Cam 1: ysgrifennwch y llif mewnol mewn geiriau syml

Disgrifiwch y rhaglen cyn teipio unrhyw beth. Mae gwesteiwr ar yr ochr fewnol sy'n agor SSH i weinydd y tu ôl i'r porth pell yn un llif TCP mewnol â phorth ffynhonnell penodol. Dyna'r llif y mae'r ACL a'r hidlydd VPN yn ei werthuso, felly dyna'r llif rydych yn ei deipio.

Ysgrifennwch ef fel brawddeg, yna cyfieithwch ef fesul maes:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Cam 2: dewiswch y fewnfa a'r cyfeiriad

Y fewnfa yw'r rhyngwyneb y mae'r pecyn yn cyrraedd arno, nid yr un y mae'n ymadael drwyddo. Ar gyfer gwesteiwr LAN sy'n cychwyn, dyna'r rhyngwyneb inside. Ar gyfer pecyn dychwelyd yr un sesiwn, dyna'r rhyngwyneb outside, ac mae'r tuple yn gwrthdroi. Teipio'r cyrchfan fel y ffynhonnell yw'r ail ffordd fwyaf cyffredin o ennill ALLOW credadwy ond amherthnasol.

Mae pyrth hefyd yn gyfeiriadol. Mae porth y gwasanaeth yn perthyn i faes y cyrchfan ar gyfer cais a gychwynnir, ac mae porth efemeraidd y cleient yn perthyn i faes y ffynhonnell. Mae model â chyrchfan TCP 500 yn disgrifio rhaglen TCP sy'n gwrando ar 500; nid yw'n dod yn brawf IKE dim ond oherwydd bod y rhif yn ymddangos yn y gorchymyn.

Cam 3: darllenwch y cyfnodau mewn trefn

Mae pob cyfnod yn yr allbwn yn benderfyniad â pherchennog: chwilio llwybr, ACL, NAT, yna dewis VPN neu dwnnel. Darllenwch nhw yn y drefn a brintiwyd ac arhoswch yn y cyfnod cyntaf sy'n anghytuno â'r dyluniad.

Mae NAT yn dal pobl. Os yw'r ffynhonnell a gyfieithwyd yn syrthio y tu allan i'r crypto ACL sy'n dewis traffig ar gyfer y twnnel, gellir caniatáu'r llif a heb ei amgáu byth. Mae'r ôl yn argraffu'r cyfeiriad a gyfieithwyd, felly cymharwch ef â thraffig diddorol y twnnel yn hytrach nag â'r cyfeiriad gwreiddiol.

Cam 4: gwiriwch pa osgoi a ddewisoch

Mae'r ffurf detailed yn cymryd opsiynau sy'n hepgor gwiriadau, ac mae Cisco yn dogfennu opsiwn bypass-checks sy'n cwmpasu ACL, hidlydd VPN, uRPF a gwiriadau ffugio IPsec. Mae ALLOW a geir gyda'r rheini wedi'u hosgoi yn dweud y byddai'r llwybr a NAT yn gweithio, nid y byddai'r polisi yn derbyn pecyn go iawn. Cofnodwch yr opsiynau wrth ymyl y canlyniad.

Os oes angen ateb polisi arnoch, rhedwch ef heb yr osgoi. Os ydych yn ynysu cwestiwn llwybrio, rhedwch ef gyda nhw a labelwch y canlyniad fel ateb llwybrio.

Cam 5: cau'r bwlch â'r gyfnewidfa go iawn

Mae caniatâd efelychiedig yn stopio yn yr ASA. A yw'r porth pell wedi dadgryptio'r pecyn, a yw'r gweinydd wedi derbyn y cysylltiad, ac a ddaeth ateb yn ôl, mae'r rhain yn arsylwadau ar wahân. Defnyddiwch gyfrifwyr terfynbwynt neu gipiad cul ar lwybr a gymeradwywyd.

Mae rhai opsiynau trace ac replay yn trosglwyddo pecynnau neu'n cadw cyflwr. Dilynwch yr ymddygiad a ddogfennwyd ar gyfer eich rhyddhau a'ch gweithdrefn ddiagnostig gymeradwy yn lle trin pob amrywiad fel chwiliad darllen yn unig.

Yr hyn na all yr ôl ei ddweud wrthych o hyd

Cadwch bedwar peth mewn un nodyn: y tuple, y rheol NAT a gydweddwyd, y twnnel neu'r polisi a ddylai gario'r llif, a'r arsylwad sy'n benodol i gyfeiriad. Hebddyn nhw ni all peiriannydd diweddarach wahanu penderfyniad polisi lleol oddi wrth awyren reoli sefydledig ac oddi wrth wasanaeth sy'n gweithio. Nid yw methiant cyntaf wedi'i ddilyn gan lwyddiant ychwaith yn brawf bod yn rhaid i'r twnnel godi yn y cyfamser; cofnodwch y cyfnod a'r newid cyflwr.

Dechreuwch gyda'r tuple mewnol, arhoswch yn y cyfnod cyntaf sy'n gwrth-ddweud y dyluniad, a dim ond yna cyrraedd am dystiolaeth terfynbwyll. Mae'r ôl yn oracl polisi, nid yn dderbynneb danfon.