Tunela ĉefa itinero en Cisco ASA: kiam ĝi vere aplikiĝas

Fora aliruzanto atingas nenion preter la ASA dum la sama servilo respondas al ping el la interna LAN. La tunelo ekfunkcias, la kliento ricevas adreson el la baseno, kaj la paketo ankoraŭ eliras per la interreta ĉefa itinero aŭ malaperas. Tiu ŝablono kutime signifas, ke la deĉifrita trafiko trovis neniun propran itineron kaj falis al la ordinara ĉefa itinero. La riparo ne estas alia NAT-regulo; ĝi estas la tunela ĉefa itinero.

Komencu per la simptomo, ne per la agordo

Rigardu, kien la paketo iras, anstataŭ kien vi atendis, ke ĝi iru. Kaptaĵo sur la ekstera interfaco dum malsukcesa seanco montras la deĉifritan paketon direktiĝantan al la ISP-pordego kun la basena adreso ankoraŭ sentuŝa, aŭ montras nenion, ĉar la serĉo malsukcesis. Ĉiuokaze la tunelo ne estas la problemo.

La tunelo aspektas sana en show vpn-sessiondb, kaj ĝuste tial homoj daŭre sencimigas IKE.

Kio distingas tion de ACL-forĵeto estas la direkto. ACL-forĵeto estas protokolata kaj kalkulata, dum mankanta itinero produktas malsukcesan serĉon sen kongrua rikordo. Rulu show route por la celo de la kliento kaj legu, kion la ASA efektive elektis, inkluzive ĉu ĉefa itinero estis elektita kaj kiu.

Kiel la tunela serĉo malsamas

La gvidilo de Cisco pri senmova enkursigo en ASA 9.23 dokumentas apartan ĉefan itineron por deĉifrita VPN-trafiko, kiu havas neniun senmovan aŭ lernitan itineron. La ŝlosilvorto tunneled markas tiun itineron, do deĉifrita paketo povas refali al malsama sekva salto ol tiu, kiun la ASA uzas por sia propra transporto. Pli specifaj itineroj ankoraŭ venkas, kaj tial kliento povas atingi 10.0.0.0/8 tra la interna pordego kaj perdi ĉion alian.

Minimuma aranĝo tenas du ĉefajn itinerojn kun malsamaj sekvaj saltoj. Unu portas la propran trafikon de la ASA, kaj la alia portas deĉifritan trafikon, kiu havas neniun pli bonan itineron. Ambaŭ sekvaj saltoj ankoraŭ devas esti atingeblaj de la interfaco, al kiu vi ligas ilin.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Se ambaŭ ĉefaj itineroj montras al la sama sekva salto, la ŝlosilvorto ŝanĝas nenion kaj la simptomo ne moviĝos.

La limigoj, kiuj decidas ĉu ĝi funkcios

La sama gvidilo permesas nur unu tunelan ĉefan itineron kaj deklaras, ke ECMP ne estas subtenata por ĝi, do vi ne povas ŝarĝdistribui tiun vojon. Ĝi ankaŭ listigas limigojn pri itinera spurrado, inversa-voja kontrolado kaj iuj inspektaj kaj administraj fluoj. Legu ilin kontraŭ via instalita eldono antaŭ ol desegni ĉirkaŭ la funkcio. Desegno, kiu ignoras ilin, kutime malsukcesas en unu specifa loko anstataŭ ĉie, kaj tial la simptomo aspektas intermita.

Inversa-voja kontrolado estas tiu, kiu mordas en nesimetriaj desegnoj. Se la respondo alvenus per alia interfaco ol la ASA atendas, la paketo estas forĵetata antaŭ ol enkursigo gravas. Riparu la topologion aŭ la revenan vojon anstataŭ malŝalti la kontroladon por devigi sekvan salton.

Itinera spurrado estas aparta kaptilo: la spurata objekto kutime gardas la ordinaran ĉefan itineron, ne la tunelan.

Kion la ŝlosilvorto ne faras

Ĝi ne elektas la fontan adreson, kiun la ASA uzas por konstrui IKE. La ekstera tunela finpunkto sekvas la propran interfacan kaj fontan elekton de la platformo, kaj la tunela ĉefa itinero havas neniun parton en tiu decido. Ŝanĝi ĝin ne riparos phase 1, kiu devenas de la malĝusta adreso.

Ĝi ankaŭ ne igas la sekvan salton prokuro. Se la celo atendas HTTP CONNECT-interŝanĝon, sendi krudajn IP-paketojn al prokura gastiganto nur donas al vi gastiganton, kiu ne enkursigas ilin. Agordu anstataŭe la prokuran mekanismon subtenatan de la kliento.

Kaj ĝi ne kreas antaŭenplusadon laŭflue. La pordego, al kiu vi montras, ankoraŭ bezonas itineron reen al la VPN-baseno, plus fonta traduko, kie la desegno postulas ĝin.

Kontrolu la vojon de fino al fino

Post kiam la itinero estas en loko, kontrolu kvar aferojn laŭ ordo: show route por celo, kiun la baseno bezonas, kaptaĵon sur la interfaco al la nova sekva salto, kaptaĵon sur la pordego mem, kaj revenan vojon de tiu pordego al la basena adreso. La du unuaj pruvas, ke la ASA elektis la vojon, kaj la du lastaj pruvas, ke iu respondas sur ĝi.

Se la pordego respondas sed la kliento neniam vidas respondon, rigardu la fontan tradukon kaj la respondan itineron antaŭ ol denove tuŝi la enkursigan tabelon.

Notu la eldonon, sur kiu vi validigis, ĉar la limiga listo estas specifa laŭ versio kaj desegno, kiu funkcias sur unu trajno, povas bezoni alian vojon sur alia. Tiu noto vivas pli longe ol la agorda eltiraĵo.