Cisco ASA al Azure VPN: para prefiksoj de trafikaj selektiloj

La tunelo leviĝas, IKE aspektas sana, kaj nenio trapasas ĝin. Tio estas la kutima formo de selektila problemo ASA al Azure, kaj tial mi skribas la kontrakton antaŭ ol tuŝi iun el la du konzoloj. La kontrakto estas kvar aferoj: la objektoj, kiuj identigas ĉiun samrangulon, la konekta modelo, la precizaj para prefiksoj kaj la kontrolo, kiu pruvas ĉiun paron. Se vi eraras pri tiuj, ĉiu posta komando sencimigas agordon, kiun vi ne devintus konstrui. Ĉi tiu runlibro estas la ordo, kiun mi uzas, kun la komandoj, kiuj montras, kiu objekto estas fakte malĝusta.

Notu la kvar objektojn antaŭ ol agordi

Komencu per la eldono kaj platformo de ASA, la publika finpunkto, la tipo kaj SKU de la Azure VPN-pordego, kaj la loka retpordego, kiu reprezentas vian flankon. Tiuj kvar nomoj estas la vortprovizo por ĉio sekva, kaj ĉiu havas malsaman posedanton, kiam io rompiĝas.

Se du el ili ankoraŭ estas konjektoj, haltu. Malĝusta prefiksa listo ĉe la loka retpordego ne estas agorda problemo.

Elektu unu konektan modelon kaj ĉesu miksi ŝablonojn

Crypto-map-aranĝo kaj tunnel-interface-aranĝo estas malsamaj agordoj, kaj ŝablono por unu ne validiĝas por la alia per redakto de la samrangula adreso. Notu, kiun vi konstruas, antaŭ ol alglui ion, ĉar la malkongruo poste montriĝas kiel selektila problemo, ne kiel agorda eraro. La interoperacia gvidilo pri ASA de Microsoft kovras ambaŭ ŝablonojn kaj indikas, kiun Azure-pordegan modelon ĉiu supozas. Se viaj notoj ne nomas la modelon, vi ankoraŭ ne havas aranĝon.

Vojo-bazita Azure-pordego kun politik-bazitaj trafikaj selektiloj estas specifa dokumentita opcio, ne la defaŭlto. Se via aranĝo dependas de ĝi, la aranĝo devas tion diri, ĉar la defaŭlta vojo-bazita selektila modelo kondutas malsame ĉe la Azure-flanko.

Versiaj limigoj ankaŭ apartenas al la kontrakto. Malnova kampa raporto pri supera limo de ĉifradaj domajnoj estas datumo pri apartaj eldonoj, ne daŭra eco de ĉiu ASA.

Listigu la parajn prefiksojn, ne la agregatojn

Skribu la matricon. Lokaj A kaj B al Azure X kaj Y estas kvar paroj, kaj ĉiu bezonas aŭ kovron aŭ eksplicitan eskludon. Kunfandi A kaj B en unu agregaton ankaŭ inkluzivas ĉion, kio situas inter ili, kaj tiel aranĝo silente akiras truon.

Kontrolu, pri kio interkonsentis la samranguloj, ne kion vi konservis. Listo de lokaj kaj malproksimaj retoj ĉe la ASA estas intenco; la CHILD SA estas la rezulto.

Kiam mankas paro, la riparo kutime estas linio de access-list aŭ rikordo de selektilo, ne nova tunelo.

Kontrolu per komandoj, kiuj nomas la objekton

Ĉe la ASA, konfirmu la IKE-sesion, poste la IPsec SA, poste la parojn de selektiloj. Ĉiu komando respondas al malsama demando, kaj ruli nur la unuan estas la maniero, kiel la aserto, ke la tunelo estas supre, fariĝas malĝusta konkludo. Legu la eligon por la samrangulo, kiun vi efektive agordis, ne por tiu SA, kiu hazarde estas la unua en la listo. La Azure-flanko respondas al la samaj tri demandoj el sia propra vidpunkto.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Poste demandu Azure pri la konekta stato per az network vpn-connection show --name <connection> --query connectionStatus. Connected kun nulo da bajtoj en la datena vojo estas selektila problemo, ne enkursiga problemo.

Testu unu permesitan fluon por paro, ekzamenu la fontan adreson vidatan ĉe la alia flanko, kaj provu unu rimedon, kiu devus esti malakceptita. Tiu lasta testo estas la sola, kiu pruvas, ke la limo ankoraŭ ekzistas.

Tenadu la ĉifran amplekson aparte de la alirpermeso

Larĝa selektilo ne estas permeso. Se la subtenata aranĝo estas pli larĝa ol la aplikaĵa politiko, konservu la mallarĝajn servojn en la fajroŝirmilaj reguloj kaj lasu la ĉifran amplekson tie, kie ĝi devas esti.

Azure-laborŝarĝaj vojoj kaj lokaj revenaj vojoj estas reviziataj aparte. BGP-anoncoj, statika retamplekso kaj uzant-difinitaj vojoj ĉiuj devas priskribi la saman vojon, kaj neniu el ili rajtas rekursive kapti la transporton de la samrangulo.

Retropaŝo kaj la pruvo, ke ĝi funkciis

Konservu la antaŭan rulantan agordon antaŭ ol ŝanĝi selektilojn, kaj sciu la unu komandon, kiu metas ĝin reen. Ĉe la ASA tio signifas konservitan kopion kaj la respondan restaŭran vojon, ne memoron pri tio, kion vi redaktis. Skribu la restaŭran komandon en la ŝanĝbileton, dum la ŝanĝo ankoraŭ estas hipoteza. Poste rulu la samajn tri kontrolojn denove: IKE-stato, IPsec SA-paroj, unu permesita fluo por paro.

Se paro ankoraŭ malsukcesas post la restaŭro, la ŝanĝo ne estis la kaŭzo, kaj vi ĵus ŝparis al vi duan interrompon.