Cómo modelar un flujo VPN con ASA packet-tracer

Packet-tracer en un ASA responde una pregunta estrecha: si este paquete, que entra aquí con esta tupla, se permitiría, y adónde iría. No responde si el extremo lejano recibe algo. El error habitual es introducir una tupla IKE exterior cuando lo que quiere probar es la aplicación que viaja dentro del túnel. Corrija primero la tupla, lea las fases y luego obtenga pruebas reales de todo lo que el simulador no puede ver.

El recorrido siguiente supone que tiene delante el ACL, la regla NAT y el contexto de tunnel-group. Sin ellos, la salida describe una política que no puede comprobar.

Paso 1: escriba el flujo interior en palabras llanas

Describa la aplicación antes de escribir nada. Un host del interior que abre SSH hacia un servidor detrás de la puerta de enlace lejana es un flujo TCP interior con un puerto de origen concreto. Ese es el flujo que evalúan el ACL y el filtro VPN, así que ese es el flujo que escribe.

Escríbalo como una frase y luego tradúzcalo campo por campo:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Paso 2: elija la entrada y la dirección

La entrada es la interfaz por la que llega el paquete, no la que abandona. Para un host LAN que inicia, es la interfaz inside. Para el paquete de retorno de la misma sesión, es la interfaz outside, y la tupla se invierte. Escribir el destino como el origen es la segunda forma más habitual de obtener un ALLOW convincente pero irrelevante.

Los puertos también tienen dirección. El puerto del servicio pertenece al campo de destino en una solicitud iniciada, y el puerto efímero del cliente pertenece al campo de origen. Un modelo con destino TCP 500 describe una aplicación TCP que escucha en 500; no se convierte en una prueba IKE solo porque el número aparezca en el comando.

Paso 3: lea las fases en orden

Cada fase de la salida es una decisión con un propietario: búsqueda de ruta, ACL, NAT y después selección de VPN o túnel. Léalas en el orden impreso y deténgase en la primera fase que discrepe del diseño.

NAT atrapa a mucha gente. Si el origen traducido cae fuera del crypto ACL que selecciona el tráfico para el túnel, el flujo puede permitirse y nunca encapsularse. El trazado imprime la dirección traducida, así que compárela con el tráfico interesante del túnel y no con la dirección original.

Paso 4: compruebe qué omisiones ha seleccionado

La forma detailed acepta opciones que saltan comprobaciones, y Cisco documenta una opción bypass-checks que cubre ACL, filtro VPN, uRPF y comprobaciones de suplantación IPsec. Un ALLOW obtenido con esas omisiones dice que la ruta y el NAT funcionarían, no que la política admitiría un paquete real. Anote las opciones junto al resultado.

Si necesita la respuesta de política, ejecútelo sin las omisiones. Si aísla una pregunta de enrutamiento, ejecútelo con ellas y etiquete el resultado como respuesta de enrutamiento.

Paso 5: cierre la brecha con el intercambio real

Un permiso simulado se detiene en el ASA. Si la puerta de enlace lejana descifró el paquete, si el servidor aceptó la conexión y si volvió una respuesta son observaciones separadas. Use contadores de extremo o una captura estrecha en una ruta aprobada.

Algunas opciones de trace y replay transmiten paquetes o conservan estado. Siga el comportamiento documentado para su versión y su procedimiento de diagnóstico aprobado en lugar de tratar cada variante como una consulta de solo lectura.

Qué sigue sin poder decirle el trazado

Guarde cuatro cosas en una nota: la tupla, la regla NAT coincidente, el túnel o la política que debería llevar el flujo y la observación específica de la dirección. Sin ellas, un ingeniero posterior no puede separar una decisión local de política de un plano de control establecido y de un servicio que funciona. Un primer fallo seguido de un éxito tampoco demuestra que el túnel tuviera que subir entretanto; anote la fase y el cambio de estado.

Empiece por la tupla interior, deténgase en la primera fase que contradiga el diseño y solo entonces busque pruebas de extremo. El trazado es un oráculo de política, no un acuse de entrega.