ASA DHCP-relay üle saidi-saiti VPN-i: samm-sammuline juhend

Relay töötab kolmes etapis ja ainult keskmine ületab VPN-i. Klient saadab harukontori segmendis ringhäälingu, ASA muudab selle ringhäälingu unicast-päringuks DHCP-serverile ning server vastab relay-aadressile, mitte kliendile. Käige etapid selles järjekorras läbi ja enamik juhtumeid «relay on katki» taandub puuduvale poliitikale või valesti loetud reale setroute.

Esimene etapp: lubage relay kliendipoolsel liidesel

Harukontori ASA-l on relay selle liidese omadus, mis vaatab klientide poole. Serveri saab deklareerida globaalselt koos selle kättesaadava liidesega või selle kliendipoolse liidese all, et marsruutimistabel valiks väljundi. Need kaks vormi ei ole vahetatavad ja vale vormi kopeerimine on esimene koht, kus juhend viltu läheb.

Kontrollige jooksvat konfiguratsiooni enne millegi muutmist: millisel liidesel on relay lubatud, milline serveri vorm on olemas ja kas setroute on kliendi liidese külge kinnitatud. Kui ASA käitab lisaks DHCP-serverit teise segmendi jaoks, peatuge ja lugege piirangute loendit; serverit ja relayd ei saa samas seadmes korraga lubada.

Relay paneb oma kliendipoolse aadressi lüüsi aadressi väljale. Just sellele aadressile vastab server, seega peab see olema kättesaadav kaugemalt saidilt tunnelit mööda, mitte ainult lokaalselt.

Teine etapp: viige ASA loodud liiklus tunnelist läbi

See on samm, mille inimesed vahele jätavad. Poliitikapõhine saidi-saiti VPN ehitatakse tavaliselt alamvõrkude vaheliseks liikluseks ja relay-päringu loob ASA ise. Kui tunneli juurdepääsuloend ja krüptokaart sobivad ainult harukontori hostist serveri alamvõrku suunduvate voogudega, ei pruugi relay-pakett tunnelisse kunagi jõuda. Kontrollige juurdepääsuloendit mõlemas suunas, mitte ainult harukontorist serverisse suunduvat rida.

Kinnitage, et huvipakkuv liiklus katab ASA relay-allika ja serveri aadressi ning et ka tagasisuund on lubatud. VTI-põhises lahenduses on marsruudivalik lihtsam, kuid relay-tugi üle VTI saabus konkreetses väljalaskes; ASA DHCP juhend osutab versioonile 9.14(1), seega kontrollige pilti enne, kui kopeerite VTI näite vanemale seadmele.

Ping ASA-st serverile tõestab iseenesest vähe. See võib õnnestuda teist teed, teise lähteaadressiga või poliitika all, millega relay paketid ei sobitu.

Kolmas etapp: lugege vastust ja setroute valikut

RFC 2131 ütleb, et server saadab oma vastuse aadressile väljas giaddr, kui see väli ei ole null. Seega tagasitee peab marsruutima relay-aadressile ning tunnelipoliitika peab lubama suunda serverist relayle. Kui päring läks läbi, aga pakkumine ei saabu kunagi, tuleb vaadata siit.

Seejärel eraldage kaks asja, mis kõlavad sarnaselt. Märksõna setroute muudab või lisab vaikimisi marsruuteri valiku, mille ASA kliendile annab. See ei paigalda ASA-le marsruuti ega loo VPN-poliitikat. Klient, kes saab aadressi, aga ei jõua kuhugi, on sageli setroute või ulatuse probleemiga, mitte tunneli probleemiga. Testige seda kliendiga, kellel pole staatilist lüüsi, ja jälgige, milline vaikimisi marsruuter pakkumises ilmub.

Lugege pakkumist algusest lõpuni: pakutud aadress, mask, vaikimisi marsruuter, DNS ja rendiaeg. Seejärel laske rendil uueneda. Relay, mis töötab korra ja nurjub uuendamisel, omab tavaliselt ulatuse, rendi või tagasitee probleemi, mille esimene vahetus varjas.

Mida ma kontrollin, enne kui ütlen, et see on parandatud

Alustage kliendist ja püüdke ringhääling kinni, seejärel kinnitage, et ASA edastas selle oma aadressiga kui giaddr. Kaugemal pool kinnitage, et server nägi seda päringut ja valis harukontorile sobiva ulatuse. Harukontorisse naastes kinnitage, et klient võttis pakkumise vastu ja jõuab oma lüüsini.

Kui mõni etapp on vaikne, kontrollige vastavat poliitikat või marsruuti, mitte ärge lisage veel üht relay-lauset. Relay konfiguratsioon on tavaliselt õige selleks ajaks, kui keegi eskaleerib; muutunud on tunnelipoliitika või tagasitee.

Kirjutage kolm etappi muudatuste registrisse: kliendipoolne liides, relay-liiklust kattev VPN-poliitika ja serveri tagasitee aadressile giaddr. Just see register muudab järgmise harukontori ehituse korratavaks tööks, mitte silumisseansiks. See ütleb ka järgmisele insenerile, millist käsuväljundit esimesena koguda.