So modellieren Sie einen VPN-Fluss mit ASA packet-tracer

Packet-tracer auf einer ASA beantwortet eine enge Frage: wäre dieses Paket, das hier mit diesem Tupel eintrifft, erlaubt, und wohin würde es gehen. Es beantwortet nicht, ob das ferne Ende etwas empfängt. Der übliche Fehler ist, ein äußeres IKE-Tupel zu füttern, wenn das, was Sie testen wollen, die Anwendung ist, die im Tunnel läuft. Korrigieren Sie zuerst das Tupel, lesen Sie die Phasen, und holen Sie dann echte Belege für alles, was der Simulator nicht sehen kann.

Der folgende Durchgang setzt voraus, dass ACL, NAT-Regel und tunnel-group-Kontext vor Ihnen liegen. Ohne sie beschreibt die Ausgabe eine Richtlinie, die Sie nicht prüfen können.

Schritt 1: schreiben Sie den inneren Fluss in einfachen Worten

Beschreiben Sie die Anwendung, bevor Sie etwas eintippen. Ein Host auf der Innenseite, der SSH zu einem Server hinter dem fernen Gateway öffnet, ist ein innerer TCP-Fluss mit einem bestimmten Quellport. Das ist der Fluss, den ACL und VPN-Filter bewerten, also ist das der Fluss, den Sie eintippen.

Schreiben Sie ihn als Satz und übersetzen Sie ihn dann Feld für Feld:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Schritt 2: wählen Sie den Eingang und die Richtung

Eingang ist die Schnittstelle, auf der das Paket ankommt, nicht die, über die es abgeht. Für einen LAN-Host, der die Verbindung beginnt, ist das die inside-Schnittstelle. Für das Rückpaket derselben Sitzung ist es die outside-Schnittstelle, und das Tupel kehrt sich um. Das Ziel als Quelle einzutippen ist der zweithäufigste Weg, ein überzeugendes, aber irrelevantes ALLOW zu erhalten.

Auch Ports sind gerichtet. Der Dienstport gehört bei einer initiierten Anfrage in das Zielfeld, und der kurzlebige Port des Clients gehört in das Quellfeld. Ein Modell mit TCP-Ziel 500 beschreibt eine TCP-Anwendung, die auf 500 lauscht; es wird nicht dadurch zu einem IKE-Test, dass die Zahl im Befehl erscheint.

Schritt 3: lesen Sie die Phasen der Reihe nach

Jede Phase in der Ausgabe ist eine Entscheidung mit einem Eigentümer: Routensuche, ACL, NAT, dann VPN- oder Tunnelauswahl. Lesen Sie sie in der gedruckten Reihenfolge und halten Sie bei der ersten Phase an, die dem Entwurf widerspricht.

NAT erwischt viele. Fällt die übersetzte Quelle außerhalb der crypto-ACL, die den Verkehr für den Tunnel auswählt, kann der Fluss erlaubt und nie gekapselt werden. Die Spur druckt die übersetzte Adresse, also vergleichen Sie sie mit dem interessanten Verkehr des Tunnels statt mit der ursprünglichen Adresse.

Schritt 4: prüfen Sie, welche Bypässe Sie gewählt haben

Die Form detailed nimmt Optionen, die Prüfungen überspringen, und Cisco dokumentiert eine bypass-checks-Option, die ACL, VPN-Filter, uRPF und IPsec-Spoof-Prüfungen abdeckt. Ein ALLOW, das mit diesen Bypässen erhalten wird, sagt, dass Route und NAT funktionieren würden, nicht dass die Richtlinie ein echtes Paket zuließe. Notieren Sie die Optionen neben dem Ergebnis.

Wenn Sie die Richtlinienantwort brauchen, führen Sie es ohne die Bypässe aus. Wenn Sie eine Routing-Frage isolieren, führen Sie es mit ihnen aus und kennzeichnen Sie das Ergebnis als Routing-Antwort.

Schritt 5: schließen Sie die Lücke mit dem echten Austausch

Eine simulierte Erlaubnis endet an der ASA. Ob das ferne Gateway das Paket entschlüsselt hat, ob der Server die Verbindung angenommen hat und ob eine Antwort zurückkam, sind getrennte Beobachtungen. Verwenden Sie Endpunkt-Zähler oder eine schmale Aufzeichnung auf einem genehmigten Pfad.

Einige Trace- und Replay-Optionen übertragen Pakete oder speichern Zustand. Folgen Sie dem dokumentierten Verhalten für Ihre Version und Ihr genehmigtes Diagnoseverfahren, statt jede Variante als reine Leseabfrage zu behandeln.

Was die Spur Ihnen noch immer nicht sagen kann

Halten Sie vier Dinge in einer Notiz fest: das Tupel, die passende NAT-Regel, den Tunnel oder die Richtlinie, die den Fluss tragen sollte, und die richtungsspezifische Beobachtung. Ohne sie kann ein späterer Ingenieur eine lokale Richtlinienentscheidung nicht von einer etablierten Steuerungsebene und von einem funktionierenden Dienst trennen. Ein erster Fehlschlag, gefolgt von einem Erfolg, ist auch kein Beweis dafür, dass der Tunnel dazwischen hochkommen musste; notieren Sie die Phase und die Zustandsänderung.

Beginnen Sie mit dem inneren Tupel, halten Sie bei der ersten Phase an, die dem Entwurf widerspricht, und greifen Sie erst dann nach Endpunkt-Belegen. Die Spur ist ein Richtlinien-Orakel, kein Zustellnachweis.