Cisco ASA Azure VPN-iga: liiklusvalijate eesliidete paarid

Tunnel tõuseb, IKE paistab terve ja midagi sellest läbi ei lähe. See on ASA ja Azure valija probleemi tavaline kuju ja seepärast kirjutan lepingu enne, kui puudutan kumbagi konsooli. Leping on neli asja: iga partneri identifitseerivad objektid, ühendusmudel, täpsed eesliidete paarid ja kontroll, mis tõestab iga paari. Kui need valesti teha, siis iga järgnev käsk silub konfiguratsiooni, mida te ei oleks pidanud ehitama. See runbook on järjekord, mida ma kasutan, koos käskudega, mis näitavad, milline objekt tegelikult vale on.

Kirjutage neli objekti üles enne konfigureerimist

Alustage ASA väljaandest ja platvormist, avalikust lõpp-punktist, Azure VPN-i lüüsi tüübist ja SKU-st ning kohalikust võrgulüüsist, mis esindab teie poolt. Need neli nime on kogu järgneva sõnavara ja igaühel on erinev omanik, kui midagi katki läheb.

Kui kaks neist on veel oletused, peatuge. Vale eesliidete loend kohalikus võrgulüüsis ei ole häälestamise probleem.

Valige üks ühendusmudel ja lõpetage mallide segamine

Crypto-mapi kujundus ja tunnel-liidese kujundus on erinevad konfiguratsioonid ja ühe mall ei muutu teise jaoks kehtivaks partneri aadressi muutmisega. Märkige üles, millist ehitate, enne kui midagi kleepite, sest lahknevus ilmneb hiljem valija probleemina, mitte konfiguratsiooniveana. Microsofti ASA koostalitlusjuhend katab mõlemad mustrid ja märgib, millist Azure'i lüüsi mudelit kumbki eeldab. Kui teie märkmetes ei ole mudelit nimetatud, ei ole teil veel kujundust.

Põhimõttel põhinevate liiklusvalijatega marsruudipõhine Azure'i lüüs on konkreetne dokumenteeritud valik, mitte vaikeväärtus. Kui teie kujundus sõltub sellest, peab kujundus seda ütlema, sest vaikimisi marsruudipõhine valijamudel käitub Azure'i poolel teisiti.

Versioonipiirangud kuuluvad samuti lepingusse. Vana väliaruanne krüpteerimisdomeenide ülempiiri kohta on andmepunkt konkreetsete väljaannete kohta, mitte iga ASA püsiv omadus.

Loetlege eesliidete paarid, mitte agregaadid

Kirjutage maatriks. Kohalikud A ja B Azure'i X ja Y suunas on neli paari ja igaüks vajab kas katvust või selgesõnalist välistust. A ja B ühte agregaati kokku surudes kaasneb ka kõik nende vaheline, ja nii tekib kujundusse vaikselt auk.

Kontrollige, milles partnerid kokku leppisid, mitte mida te salvestasite. Kohalike ja kaugvõrkude loend ASAs on kavatsus; CHILD SA on tulemus.

Kui paar puudub, on parandus tavaliselt access-list-i rida või valija kirje, mitte uus tunnel.

Kontrollige käskudega, mis nimetavad objekti

ASAs kinnitage IKE sessioon, seejärel IPsec SA-d, seejärel valijate paarid. Iga käsk vastab erinevale küsimusele ja ainult esimese käivitamine on viis, kuidas väide, et tunnel on üleval, muutub valeks järelduseks. Lugege väljundit selle partneri kohta, kelle te tegelikult konfigureerisite, mitte selle SA kohta, mis juhtub loendis esimene olema. Azure'i pool vastab samadele kolmele küsimusele omast vaatenurgast.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Seejärel küsige Azure'ilt ühenduse olekut käsuga az network vpn-connection show --name <connection> --query connectionStatus. Connected null baidiga andmete teekonnal on valija probleem, mitte marsruutimise probleem.

Testige ühte lubatud voogu paari kohta, uurige teisel poolel nähtavat lähteaadressi ja proovige ühte ressurssi, mis peaks olema keelatud. See viimane test on ainus, mis tõestab, et piir on endiselt olemas.

Hoidke krüpteerimisulatus juurdepääsuloast eraldi

Lai valija ei ole luba. Kui toetatud paigutus on rakenduse poliitikast laiem, jätke kitsad teenused tulemüüri reeglitesse ja krüpteerimisulatus sinna, kus see olema peab.

Azure'i töökoormuste marsruudid ja kohalikud tagasitee marsruudid vaadatakse üle eraldi. BGP teated, staatiline võrguulatus ja kasutaja määratud marsruudid peavad kõik kirjeldama sama teekonda ja ükski neist ei tohi partneri transporti rekursiivselt haarata.

Tagasipööramine ja tõestus, et see toimis

Hoidke eelmine töötav konfiguratsioon enne valijate muutmist ja teadke seda ühte käsku, mis selle tagasi paneb. ASAs tähendab see salvestatud koopiat ja vastavat taastamisteekonda, mitte mälestust sellest, mida te muutsite. Kirjutage taastamiskäsk muudatuse piletisse, kui muudatus on veel hüpoteetiline. Seejärel käivitage uuesti samad kolm kontrolli: IKE olek, IPsec SA paarid, üks lubatud voog paari kohta.

Kui paar pärast taastamist ikka ebaõnnestub, ei olnud muudatus põhjus, ja te säästsite end just teisest katkestusest.