Cisco ASA tunneled-vaikimisi marsruut: millal see tegelikult kehtib

Kaugjuurdepääsu kasutaja ei jõua ASA taga mitte kuhugi, samal ajal kui sama server vastab pingidele sisemisest LAN-ist. Tunnel tuleb üles, klient saab aadressi poolist ja pakett lahkub ikkagi interneti vaikimisi marsruudi kaudu või kaob. See muster tähendab tavaliselt, et dekrüpteeritud liiklus ei leidnud oma marsruuti ja langes tavalisele vaikimisi marsruudile. Parandus ei ole veel üks NAT-reegel; see on tunneled-vaikimisi marsruut.

Alusta sümptomist, mitte konfiguratsioonist

Jälgi, kuhu pakett läheb, mitte kuhu sa eeldasid, et see läheb. Välisliidesel tehtud püük ebaõnnestunud sessiooni ajal näitab dekrüpteeritud paketti teel ISP-lüüsile pooli aadressiga veel puutumata, või ei näita midagi, sest otsing ebaõnnestus. Mõlemal juhul ei ole tunnel probleem.

Tunnel näeb välja terveks show vpn-sessiondb väljundis ja just seetõttu jätkavad inimesed IKE-i silumist.

Seda eristab ACL-i tõrkest suund. ACL-i tõrge logitakse ja loendatakse, samas kui puuduv marsruut tekitab otsingu ebaõnnestumise ilma sobiva kirjeta. Käivita show route kliendi sihtkoha jaoks ja loe, mille ASA tegelikult valis, sealhulgas kas vaikimisi marsruut valiti ja milline.

Mille poolest tunneled-otsing erineb

Cisco ASA 9.23 staatilise marsruutimise juhend dokumenteerib eraldi vaikimisi marsruudi dekrüpteeritud VPN-liiklusele, millel puudub staatiline või õpitud marsruut. Märksõna tunneled märgib seda marsruuti, nii et dekrüpteeritud pakett võib langeda teisele järgmisele hüppele kui see, mida ASA kasutab omaenda transpordi jaoks. Konkreetsemad marsruudid võidavad endiselt, mistõttu klient võib jõuda 10.0.0.0/8-ni sisemise lüüsi kaudu ja kaotada kõik muu.

Minimaalne paigutus hoiab kahte vaikimisi marsruuti erinevate järgmiste hüpetega. Üks kannab ASA enda liiklust ja teine dekrüpteeritud liiklust, millel pole paremat marsruuti. Mõlemad järgmised hüpped peavad endiselt olema kättesaadavad liidesest, mille külge need kinnitad.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Kui mõlemad vaikimisi marsruudid osutavad samale järgmisele hüppele, ei muuda märksõna midagi ja sümptom ei liigu.

Piirangud, mis otsustavad, kas see töötab

Sama juhend lubab ainult ühte tunneled-vaikimisi marsruuti ja märgib, et ECMP ei ole selle jaoks toetatud, seega ei saa seda teed koormust jagada. Samuti loetleb see piiranguid, mis puudutavad marsruutide jälgimist, pöördtee kontrolli ja mõningaid kontrolli- ja haldusvooge. Loe neid oma paigaldatud versiooni vastu enne, kui hakkad funktsiooni ümber projekteerima. Lahendus, mis neid eirab, ebaõnnestub tavaliselt ühes kindlas kohas, mitte kõikjal, ja seetõttu näib sümptom katkendlik.

Pöördtee kontroll on see, mis hammustab asümmeetrilistes lahendustes. Kui vastus saabuks teisest liidesest, kui ASA ootab, visatakse pakett ära enne, kui marsruutimine üldse loeb. Paranda topoloogiat või tagasiteed, selle asemel et kontroll välja lülitada, et järgmist hüpet peale suruda.

Marsruutide jälgimine on eraldi lõks: jälgitav objekt kaitseb tavaliselt tavalist vaikimisi marsruuti, mitte tunneled-oma.

Mida märksõna ei tee

See ei vali lähteaadressi, mida ASA kasutab IKE-i ehitamiseks. Tunnel välise lõpp-punkt järgib platvormi enda liidese- ja lähtevalikut ning tunneled-vaikimisi marsruudil pole selles otsuses osa. Selle muutmine ei paranda phase 1, mis pärineb valelt aadressilt.

See ei muuda ka järgmist hüpet puhverserveriks. Kui sihtkoht ootab HTTP CONNECT vahetust, annab toores IP-pakettide saatmine puhverserveri hostile sulle ainult hosti, mis neid ei marsruudi. Seadista selle asemel kliendi toetatud puhverserveri mehhanism.

Ja see ei loo edasisaatmist allavoolu. Lüüs, millele osutad, vajab endiselt marsruuti tagasi VPN-pooli, lisaks lähteteisendust seal, kus lahendus seda nõuab.

Kontrolli teed otsast otsani

Kui marsruut on paigas, kontrolli nelja asja järjekorras: show route sihtkoha jaoks, mida pool vajab, püük liidesel uue järgmise hüppe suunas, püük lüüsil endal ja tagasitee sellelt lüüsilt pooli aadressile. Kaks esimest tõestavad, et ASA valis tee, ja kaks viimast, et keegi sellele vastab.

Kui lüüs vastab, aga klient ei näe kunagi vastust, vaata lähteteisendust ja vastusmarsruuti enne, kui marsruutimistabelit uuesti puutud.

Pane kirja versioon, millel valideerisid, sest piirangute loend on versioonipõhine ja ühel harul töötav lahendus võib teisel vajada teistsugust teed. See märkus elab kauem kui konfiguratsioonikatkend.