Πώς να μοντελοποιήσετε μια ροή VPN με το ASA packet-tracer

Το packet-tracer σε ένα ASA απαντά σε ένα στενό ερώτημα: θα επιτρεπόταν αυτό το πακέτο, που εισέρχεται εδώ με αυτή την πλειάδα, και πού θα πήγαινε. Δεν απαντά αν το απομακρυσμένο άκρο λαμβάνει κάτι. Το συνηθισμένο λάθος είναι να δίνετε μια εξωτερική πλειάδα IKE όταν αυτό που θέλετε να δοκιμάσετε είναι η εφαρμογή που ταξιδεύει μέσα στη σήραγγα. Διορθώστε πρώτα την πλειάδα, διαβάστε τις φάσεις και μετά συγκεντρώστε πραγματικά στοιχεία για όσα δεν μπορεί να δει ο προσομοιωτής.

Η παρακάτω περιήγηση προϋποθέτει ότι έχετε μπροστά σας το ACL, τον κανόνα NAT και το πλαίσιο tunnel-group. Χωρίς αυτά, η έξοδος περιγράφει μια πολιτική που δεν μπορείτε να ελέγξετε.

Βήμα 1: γράψτε την εσωτερική ροή με απλά λόγια

Περιγράψτε την εφαρμογή πριν πληκτρολογήσετε οτιδήποτε. Ένας κεντρικός υπολογιστής στο εσωτερικό που ανοίγει SSH προς έναν διακομιστή πίσω από την απομακρυσμένη πύλη είναι μία εσωτερική ροή TCP με συγκεκριμένη θύρα προέλευσης. Αυτή είναι η ροή που αξιολογούν το ACL και το φίλτρο VPN, άρα αυτή είναι η ροή που πληκτρολογείτε.

Γράψτε την ως πρόταση και μετά μεταφράστε την πεδίο προς πεδίο:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Βήμα 2: επιλέξτε τη διεπαφή εισόδου και την κατεύθυνση

Είσοδος είναι η διεπαφή στην οποία φτάνει το πακέτο, όχι αυτή από την οποία φεύγει. Για έναν κεντρικό υπολογιστή LAN που ξεκινά, είναι η διεπαφή inside. Για το πακέτο επιστροφής της ίδιας συνεδρίας, είναι η διεπαφή outside, και η πλειάδα αντιστρέφεται. Το να γράψετε τον προορισμό ως πηγή είναι ο δεύτερος πιο συνηθισμένος τρόπος να κερδίσετε ένα πειστικό αλλά άσχετο ALLOW.

Οι θύρες έχουν επίσης κατεύθυνση. Η θύρα υπηρεσίας ανήκει στο πεδίο προορισμού για ένα αίτημα που ξεκινά, και η εφήμερη θύρα του πελάτη ανήκει στο πεδίο πηγής. Ένα μοντέλο με προορισμό TCP 500 περιγράφει μια εφαρμογή TCP που ακούει στο 500· δεν γίνεται δοκιμή IKE επειδή ο αριθμός εμφανίζεται στην εντολή.

Βήμα 3: διαβάστε τις φάσεις με τη σειρά

Κάθε φάση στην έξοδο είναι μια απόφαση με ιδιοκτήτη: αναζήτηση διαδρομής, ACL, NAT και μετά επιλογή VPN ή σήραγγας. Διαβάστε τις με τη σειρά που εκτυπώθηκαν και σταματήστε στην πρώτη φάση που διαφωνεί με τον σχεδιασμό.

Το NAT αιφνιδιάζει πολλούς. Αν η μεταφρασμένη πηγή πέσει έξω από το crypto ACL που επιλέγει την κίνηση για τη σήραγγα, η ροή μπορεί να επιτραπεί και να μην ενθυλακωθεί ποτέ. Το ίχνος εκτυπώνει τη μεταφρασμένη διεύθυνση, οπότε συγκρίνετέ τη με την ενδιαφέρουσα κίνηση της σήραγγας και όχι με την αρχική διεύθυνση.

Βήμα 4: ελέγξτε ποιες παρακάμψεις επιλέξατε

Η μορφή detailed δέχεται επιλογές που παραλείπουν ελέγχους, και η Cisco τεκμηριώνει μια επιλογή bypass-checks που καλύπτει ACL, φίλτρο VPN, uRPF και ελέγχους πλαστογράφησης IPsec. Ένα ALLOW που λαμβάνεται με αυτές παρακαμμένες λέει ότι η διαδρομή και το NAT θα δούλευαν, όχι ότι η πολιτική θα δεχόταν ένα πραγματικό πακέτο. Καταγράψτε τις επιλογές δίπλα στο αποτέλεσμα.

Αν χρειάζεστε την απάντηση πολιτικής, εκτελέστε το χωρίς τις παρακάμψεις. Αν απομονώνετε ένα ερώτημα δρομολόγησης, εκτελέστε το με αυτές και χαρακτηρίστε το αποτέλεσμα ως απάντηση δρομολόγησης.

Βήμα 5: κλείστε το κενό με την πραγματική ανταλλαγή

Μια προσομοιωμένη άδεια σταματά στο ASA. Αν η απομακρυσμένη πύλη αποκρυπτογράφησε το πακέτο, αν ο διακομιστής δέχτηκε τη σύνδεση και αν επέστρεψε απάντηση είναι ξεχωριστές παρατηρήσεις. Χρησιμοποιήστε μετρητές τελικών σημείων ή μια στενή σύλληψη σε εγκεκριμένη διαδρομή.

Ορισμένες επιλογές trace και replay μεταδίδουν πακέτα ή διατηρούν κατάσταση. Ακολουθήστε την τεκμηριωμένη συμπεριφορά για την έκδοσή σας και την εγκεκριμένη διαγνωστική διαδικασία αντί να αντιμετωπίζετε κάθε παραλλαγή ως αναζήτηση μόνο για ανάγνωση.

Τι δεν μπορεί ακόμη να σας πει το ίχνος

Κρατήστε τέσσερα πράγματα σε μία σημείωση: την πλειάδα, τον κανόνα NAT που ταιριάζει, τη σήραγγα ή την πολιτική που θα έπρεπε να μεταφέρει τη ροή και την παρατήρηση ειδική για την κατεύθυνση. Χωρίς αυτά, ένας μεταγενέστερος μηχανικός δεν μπορεί να διαχωρίσει μια τοπική απόφαση πολιτικής από ένα εδραιωμένο επίπεδο ελέγχου και από μια υπηρεσία που λειτουργεί. Μια πρώτη αποτυχία που ακολουθείται από επιτυχία επίσης δεν αποδεικνύει ότι η σήραγγα έπρεπε να σηκωθεί στο μεταξύ· καταγράψτε τη φάση και την αλλαγή κατάστασης.

Ξεκινήστε με την εσωτερική πλειάδα, σταματήστε στην πρώτη φάση που αντιτίθεται στον σχεδιασμό και μόνο τότε αναζητήστε στοιχεία από τα τελικά σημεία. Το ίχνος είναι μαντείο πολιτικής, όχι απόδειξη παράδοσης.