Η τούνελ προεπιλεγμένη διαδρομή στο Cisco ASA: πότε ισχύει πραγματικά

Ένας χρήστης απομακρυσμένης πρόσβασης δεν φτάνει τίποτα πέρα από το ASA, ενώ ο ίδιος διακομιστής απαντά σε ping από το εσωτερικό LAN. Το τούνελ ανεβαίνει, ο πελάτης παίρνει διεύθυνση από την πισίνα, και το πακέτο εξακολουθεί να φεύγει από την προεπιλεγμένη διαδρομή του διαδικτύου ή εξαφανίζεται. Αυτό το μοτίβο συνήθως σημαίνει ότι η αποκρυπτογραφημένη κίνηση δεν βρήκε δική της διαδρομή και έπεσε στην κοινή προεπιλεγμένη. Η διόρθωση δεν είναι άλλος ένας κανόνας NAT· είναι η τούνελ προεπιλεγμένη διαδρομή.

Ξεκινήστε από το σύμπτωμα, όχι από τη διαμόρφωση

Παρακολουθήστε πού πάει το πακέτο αντί για πού περιμένατε να πάει. Μια σύλληψη στην εξωτερική διεπαφή κατά τη διάρκεια αποτυχημένης συνεδρίας δείχνει το αποκρυπτογραφημένο πακέτο να κατευθύνεται προς την πύλη του παρόχου με τη διεύθυνση της πισίνας ακόμη άθικτη, ή δεν δείχνει τίποτα επειδή η αναζήτηση απέτυχε. Σε κάθε περίπτωση το τούνελ δεν είναι το πρόβλημα.

Το τούνελ φαίνεται υγιές στο show vpn-sessiondb, και γι' αυτό ακριβώς οι άνθρωποι συνεχίζουν να κάνουν αποσφαλμάτωση στο IKE.

Αυτό που το ξεχωρίζει από μια πτώση ACL είναι η κατεύθυνση. Μια πτώση ACL καταγράφεται και μετριέται, ενώ μια διαδρομή που λείπει παράγει αποτυχία αναζήτησης χωρίς αντίστοιχη εγγραφή. Εκτελέστε show route για τον προορισμό του πελάτη και διαβάστε τι επέλεξε πραγματικά το ASA, συμπεριλαμβανομένου αν επιλέχθηκε προεπιλεγμένη διαδρομή και ποια.

Πώς διαφέρει η τούνελ αναζήτηση

Ο οδηγός της Cisco για στατική δρομολόγηση στο ASA 9.23 τεκμηριώνει μια ξεχωριστή προεπιλεγμένη διαδρομή για αποκρυπτογραφημένη κίνηση VPN που δεν έχει στατική ή μαθημένη διαδρομή. Η λέξη-κλειδί tunneled σηματοδοτεί αυτή τη διαδρομή, ώστε ένα αποκρυπτογραφημένο πακέτο να μπορεί να πέσει σε διαφορετικό επόμενο άλμα από αυτό που χρησιμοποιεί το ASA για τη δική του μεταφορά. Πιο συγκεκριμένες διαδρομές εξακολουθούν να κερδίζουν, γι' αυτό ένας πελάτης μπορεί να φτάσει το 10.0.0.0/8 μέσω της εσωτερικής πύλης και να χάσει όλα τα άλλα.

Μια ελάχιστη διάταξη κρατά δύο προεπιλεγμένες διαδρομές με διαφορετικά επόμενα άλματα. Η μία μεταφέρει την κίνηση του ίδιου του ASA και η άλλη την αποκρυπτογραφημένη κίνηση που δεν έχει καλύτερη διαδρομή. Και τα δύο επόμενα άλματα πρέπει ακόμη να είναι προσβάσιμα από τη διεπαφή στην οποία τα συνδέετε.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Αν και οι δύο προεπιλεγμένες διαδρομές δείχνουν στο ίδιο επόμενο άλμα, η λέξη-κλειδί δεν αλλάζει τίποτα και το σύμπτωμα δεν θα μετακινηθεί.

Οι περιορισμοί που καθορίζουν αν θα λειτουργήσει

Ο ίδιος οδηγός επιτρέπει μόνο μία τούνελ προεπιλεγμένη διαδρομή και αναφέρει ότι το ECMP δεν υποστηρίζεται γι' αυτήν, οπότε δεν μπορείτε να μοιράσετε το φορτίο σε αυτή τη διαδρομή. Απαριθμεί επίσης περιορισμούς που αφορούν την παρακολούθηση διαδρομών, την επαλήθευση αντίστροφης διαδρομής και ορισμένες ροές επιθεώρησης και διαχείρισης. Διαβάστε τους σε σχέση με την εγκατεστημένη σας έκδοση πριν σχεδιάσετε γύρω από τη λειτουργία. Ένας σχεδιασμός που τους αγνοεί συνήθως αποτυγχάνει σε ένα συγκεκριμένο σημείο και όχι παντού, γι' αυτό το σύμπτωμα φαίνεται διακοπτόμενο.

Η επαλήθευση αντίστροφης διαδρομής είναι αυτή που δαγκώνει σε ασύμμετρους σχεδιασμούς. Αν η απάντηση έφτανε από διαφορετική διεπαφή από αυτή που περιμένει το ASA, το πακέτο απορρίπτεται πριν η δρομολόγηση αποκτήσει σημασία. Διορθώστε την τοπολογία ή την επιστροφική διαδρομή αντί να απενεργοποιήσετε την επαλήθευση για να επιβάλετε ένα επόμενο άλμα.

Η παρακολούθηση διαδρομών είναι ξεχωριστή παγίδα: το αντικείμενο που παρακολουθείται συνήθως φρουρεί την κοινή προεπιλεγμένη διαδρομή, όχι την τούνελ.

Τι δεν κάνει η λέξη-κλειδί

Δεν επιλέγει τη διεύθυνση πηγής που χρησιμοποιεί το ASA για να χτίσει το IKE. Το εξωτερικό άκρο του τούνελ ακολουθεί την δική του επιλογή διεπαφής και πηγής της πλατφόρμας, και η τούνελ προεπιλεγμένη διαδρομή δεν έχει κανένα μερίδιο σε αυτή την απόφαση. Η αλλαγή της δεν θα διορθώσει ένα phase 1 που προέρχεται από τη λάθος διεύθυνση.

Δεν μετατρέπει ούτε το επόμενο άλμα σε διαμεσολαβητή. Αν ο προορισμός περιμένει ανταλλαγή HTTP CONNECT, η αποστολή ακατέργαστων πακέτων IP σε έναν κεντρικό υπολογιστή διαμεσολαβητή σας δίνει μόνο έναν κεντρικό υπολογιστή που δεν τα δρομολογεί. Διαμορφώστε αντ'αυτού τον μηχανισμό διαμεσολαβητή που υποστηρίζει ο πελάτης.

Και δεν δημιουργεί προώθηση προς τα κάτω. Η πύλη στην οποία δείχνετε εξακολουθεί να χρειάζεται διαδρομή πίσω στην πισίνα VPN, καθώς και μετάφραση πηγής όπου το απαιτεί ο σχεδιασμός.

Επαληθεύστε τη διαδρομή από άκρη σε άκρη

Αφού η διαδρομή είναι στη θέση της, ελέγξτε τέσσερα πράγματα με σειρά: show route για έναν προορισμό που χρειάζεται η πισίνα, σύλληψη στη διεπαφή προς το νέο επόμενο άλμα, σύλληψη στην ίδια την πύλη και επιστροφική διαδρομή από αυτή την πύλη στη διεύθυνση της πισίνας. Τα δύο πρώτα αποδεικνύουν ότι το ASA επέλεξε τη διαδρομή, και τα δύο τελευταία ότι κάποιος απαντά σε αυτήν.

Αν η πύλη απαντά αλλά ο πελάτης δεν βλέπει ποτέ απάντηση, κοιτάξτε τη μετάφραση πηγής και την επιστροφική διαδρομή πριν αγγίξετε ξανά τον πίνακα δρομολόγησης.

Καταγράψτε την έκδοση στην οποία επαληθεύσατε, επειδή η λίστα περιορισμών είναι ειδική για κάθε έκδοση και ένας σχεδιασμός που λειτουργεί σε μια σειρά μπορεί να χρειαστεί διαφορετική διαδρομή σε άλλη. Αυτή η σημείωση ζει περισσότερο από το απόσπασμα διαμόρφωσης.