Cisco ASA προς Azure VPN: ζεύγη προθεμάτων επιλογέων κίνησης

Η σήραγγα ανεβαίνει, το IKE φαίνεται υγιές και τίποτα δεν περνά από μέσα της. Αυτή είναι η συνήθης μορφή ενός προβλήματος επιλογέων ASA προς Azure, και γι' αυτό γράφω το συμβόλαιο πριν αγγίξω οποιαδήποτε από τις δύο κονσόλες. Το συμβόλαιο είναι τέσσερα πράγματα: τα αντικείμενα που αναγνωρίζουν κάθε ομότιμο, το μοντέλο σύνδεσης, τα ακριβή ζεύγη προθεμάτων και η επαλήθευση που αποδεικνύει κάθε ζεύγος. Αν τα κάνετε λάθος, κάθε επόμενη εντολή κάνει αποσφαλμάτωση μιας διαμόρφωσης που δεν θα έπρεπε να έχετε φτιάξει. Αυτό το runbook είναι η σειρά που χρησιμοποιώ, μαζί με τις εντολές που δείχνουν ποιο αντικείμενο είναι πραγματικά λάθος.

Καταγράψτε τα τέσσερα αντικείμενα πριν ρυθμίσετε

Ξεκινήστε με την έκδοση και την πλατφόρμα του ASA, το δημόσιο τελικό σημείο, τον τύπο και το SKU της πύλης Azure VPN, και την τοπική πύλη δικτύου που αντιπροσωπεύει την πλευρά σας. Αυτά τα τέσσερα ονόματα είναι το λεξιλόγιο για όλα όσα ακολουθούν, και το καθένα έχει διαφορετικό ιδιοκτήτη όταν κάτι χαλάει.

Αν δύο από αυτά είναι ακόμη εικασίες, σταματήστε. Μια λάθος λίστα προθεμάτων στην τοπική πύλη δικτύου δεν είναι πρόβλημα συντονισμού.

Διαλέξτε ένα μοντέλο σύνδεσης και σταματήστε να αναμιγνύετε πρότυπα

Ένα σχέδιο με crypto map και ένα σχέδιο με tunnel interface είναι διαφορετικές διαμορφώσεις, και ένα πρότυπο για το ένα δεν γίνεται έγκυρο για το άλλο αλλάζοντας τη διεύθυνση του ομότιμου. Καταγράψτε ποιο χτίζετε πριν επικολλήσετε οτιδήποτε, γιατί η ασυμφωνία εμφανίζεται αργότερα ως πρόβλημα επιλογέα και όχι ως σφάλμα διαμόρφωσης. Ο οδηγός διαλειτουργικότητας ASA της Microsoft καλύπτει και τα δύο μοτίβα και δηλώνει ποιο μοντέλο πύλης Azure υποθέτει το καθένα. Αν οι σημειώσεις σας δεν ονομάζουν το μοντέλο, δεν έχετε ακόμη σχέδιο.

Μια πύλη Azure βασισμένη σε διαδρομές με επιλογείς κίνησης βασισμένους σε πολιτική είναι μια συγκεκριμένη τεκμηριωμένη επιλογή, όχι η προεπιλογή. Αν το σχέδιό σας εξαρτάται από αυτήν, το σχέδιο πρέπει να το λέει, γιατί το προεπιλεγμένο μοντέλο επιλογέων βασισμένο σε διαδρομές συμπεριφέρεται διαφορετικά στην πλευρά του Azure.

Τα όρια εκδόσεων ανήκουν επίσης στο συμβόλαιο. Μια παλιά αναφορά πεδίου για ένα ανώτατο όριο στους τομείς κρυπτογράφησης είναι ένα δεδομένο για συγκεκριμένες εκδόσεις, όχι μόνιμη ιδιότητα κάθε ASA.

Απαριθμήστε τα ζεύγη προθεμάτων, όχι τις συναθροίσεις

Γράψτε τον πίνακα. Τοπικά A και B προς Azure X και Y είναι τέσσερα ζεύγη, και το καθένα χρειάζεται είτε κάλυψη είτε ρητή εξαίρεση. Η συγχώνευση των A και B σε μία συνάθροιση περιλαμβάνει και ό,τι βρίσκεται ανάμεσά τους, και έτσι ένα σχέδιο αποκτά ήσυχα μια τρύπα.

Ελέγξτε τι διαπραγματεύτηκαν τα ομότιμα, όχι τι αποθηκεύσατε. Η λίστα τοπικών και απομακρυσμένων δικτύων στον ASA είναι πρόθεση· τα CHILD SA είναι το αποτέλεσμα.

Όταν λείπει ένα ζεύγος, η διόρθωση είναι συνήθως μια γραμμή access-list ή μια καταχώριση επιλογέα, όχι μια νέα σήραγγα.

Επαληθεύστε με εντολές που ονομάζουν το αντικείμενο

Στον ASA, επιβεβαιώστε τη συνεδρία IKE, μετά τα IPsec SA, μετά τα ζεύγη επιλογέων. Κάθε εντολή απαντά σε διαφορετικό ερώτημα, και το να τρέξετε μόνο την πρώτη είναι ο τρόπος με τον οποίο η δήλωση ότι η σήραγγα είναι πάνω γίνεται λανθασμένο συμπέρασμα. Διαβάστε την έξοδο για το ομότιμο που ρυθμίσατε πραγματικά, όχι για όποιο SA τυχαίνει να είναι πρώτο στη λίστα. Η πλευρά του Azure απαντά στα ίδια τρία ερωτήματα από τη δική της σκοπιά.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Στη συνέχεια ζητήστε από το Azure την κατάσταση της σύνδεσης με az network vpn-connection show --name <connection> --query connectionStatus. Connected με μηδέν byte στη διαδρομή δεδομένων είναι πρόβλημα επιλογέα, όχι πρόβλημα δρομολόγησης.

Δοκιμάστε μία επιτρεπόμενη ροή ανά ζεύγος, εξετάστε τη διεύθυνση προέλευσης που φαίνεται στην άλλη πλευρά και δοκιμάστε έναν πόρο που θα έπρεπε να απορρίπτεται. Αυτή η τελευταία δοκιμή είναι η μόνη που αποδεικνύει ότι το όριο υπάρχει ακόμη.

Κρατήστε το εύρος κρυπτογράφησης ξεχωριστό από την άδεια πρόσβασης

Ένας ευρύς επιλογέας δεν είναι άδεια. Αν η υποστηριζόμενη διάταξη είναι ευρύτερη από την πολιτική της εφαρμογής, κρατήστε τις στενές υπηρεσίες στους κανόνες του τείχους προστασίας και αφήστε το εύρος κρυπτογράφησης εκεί όπου πρέπει να είναι.

Οι διαδρομές φόρτου εργασίας του Azure και οι τοπικές διαδρομές επιστροφής εξετάζονται χωριστά. Οι ανακοινώσεις BGP, το στατικό εύρος δικτύου και οι διαδρομές που ορίζει ο χρήστης πρέπει όλα να περιγράφουν την ίδια διαδρομή, και κανένα από αυτά δεν επιτρέπεται να συλλαμβάνει αναδρομικά τη μεταφορά του ομότιμου.

Επαναφορά και η απόδειξη ότι δούλεψε

Κρατήστε την προηγούμενη ενεργή διαμόρφωση πριν αλλάξετε επιλογείς, και ξέρετε την μία εντολή που την επαναφέρει. Στον ASA αυτό σημαίνει αποθηκευμένο αντίγραφο και την αντίστοιχη διαδρομή επαναφοράς, όχι ανάμνηση του τι επεξεργαστήκατε. Γράψτε την εντολή επαναφοράς στο δελτίο αλλαγής όσο η αλλαγή είναι ακόμη υποθετική. Στη συνέχεια εκτελέστε ξανά τους ίδιους τρεις ελέγχους: κατάσταση IKE, ζεύγη IPsec SA, μία επιτρεπόμενη ροή ανά ζεύγος.

Αν ένα ζεύγος εξακολουθεί να αποτυγχάνει μετά την επαναφορά, η αλλαγή δεν ήταν η αιτία, και μόλις γλιτώσατε μια δεύτερη διακοπή.