Kuidas modelleerida VPN-i voogu ASA packet-traceriga

Packet-tracer ASA-l vastab kitsale küsimusele: kas see pakett, mis siin selle korteežiga siseneb, oleks lubatud ja kuhu see läheks. See ei vasta, kas kaugem ots midagi vastu võtab. Tavaline viga on sisestada väline IKE korteež, kui see, mida soovite testida, on rakendus, mis sõidab tunnelis sees. Parandage esmalt korteež, lugege faase ja seejärel hankige tegelikud tõendid kõige kohta, mida simulaator ei näe.

Järgnev ülevaade eeldab, et ACL, NAT-reegel ja tunnel-group kontekst on teie ees. Ilma nendeta kirjeldab väljund poliitikat, mida te ei saa kontrollida.

Samm 1: kirjutage sisemine voog lihtsate sõnadega

Kirjeldage rakendust enne, kui midagi sisestate. Seesmine host, mis avab SSH kaugvärava taga olevasse serverisse, on üks sisemine TCP voog konkreetse lähteportiga. See on voog, mida ACL ja VPN-filter hindavad, seega see on voog, mille sisestate.

Kirjutage see lausena ja tõlkige seejärel väli välja haaval:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Samm 2: valige sissesõidu liides ja suund

Sissesõit on liides, millele pakett saabub, mitte see, mille kaudu see lahkub. LAN-hostil, mis algatab, on see inside-liides. Sama sessiooni vastuspaketil on see outside-liides ja korteež pöördub. Sihtkoha kirjutamine lähtekohana on teine kõige tavalisem viis saada veenev, kuid asjakohatu ALLOW.

Pordid on samuti suunatud. Teenuse port kuulub algatatud taotluse sihtvälja ja kliendi efemeerne port kuulub lähtevälja. Mudel, mille TCP-siht on 500, kirjeldab TCP-rakendust, mis kuulab pordil 500; sellest ei saa IKE-testi ainult sellepärast, et number käsus esineb.

Samm 3: lugege faase järjest

Iga faas väljundis on otsus, millel on omanik: marsruudi otsing, ACL, NAT ja seejärel VPN-i või tunneli valik. Lugege neid trükitud järjekorras ja peatuge esimesel faasil, mis projektiga vastuolus on.

NAT tabab inimesi sageli. Kui tõlgitud lähtekoht jääb väljapoole crypto ACL-i, mis valib tunnelile liiklust, võib voog olla lubatud ja kunagi mitte kapseldatud. Jälg trükib tõlgitud aadressi, seega võrrelge seda tunneli huvipakkuva liiklusega, mitte algse aadressiga.

Samm 4: kontrollige, millised möödaviigud valisite

Vorm detailed võtab valikuid, mis jätavad kontrolle vahele, ja Cisco dokumenteerib bypass-checks valiku, mis katab ACL, VPN-filtri, uRPF ja IPsec-i võltsimiskontrollid. Nendega mööda minnes saadud ALLOW ütleb, et marsruut ja NAT töötaksid, mitte et poliitika võtaks vastu tõelise paketi. Kirjutage valikud tulemuse kõrvale.

Kui vajate poliitika vastust, käivitage see möödaviikudeta. Kui isoleerite marsruutimisküsimust, käivitage see nendega ja märkige tulemus marsruutimisvastuseks.

Samm 5: sulgege lünk tegeliku vahetusega

Simuleeritud luba peatub ASA-l. Kas kaugvärav dekrüpteeris paketi, kas server võttis ühenduse vastu ja kas vastus tuli tagasi, on eraldi vaatlused. Kasutage lõpp-punkti loendureid või kitsast püüdmist heakskiidetud teel.

Mõned trace- ja replay-valikud edastavad pakette või säilitavad olekut. Järgige oma väljaande ja heakskiidetud diagnostikaprotseduuri dokumenteeritud käitumist, selle asemel et käsitleda iga varianti ainult lugemisena.

Mida jälg teile veel öelda ei saa

Hoidke ühes märkmes nelja asja: korteež, sobiv NAT-reegel, tunnel või poliitika, mis peaks voogu kandma, ja suunaspetsiifiline vaatlus. Ilma nendeta ei saa hilisem insener eraldada kohalikku poliitikaotsust kehtestatud juhtimistasandist ja töötavast teenusest. Esimene ebaõnnestumine, millele järgneb edu, ei ole samuti tõestus, et tunnel pidi vahepeal üles tulema; kirjutage faas ja olekumuutus üles.

Alustage sisemisest korteežist, peatuge esimesel faasil, mis projektile vastu räägib, ja alles siis haarake lõpp-punkti tõendite järele. Jälg on poliitika oraakel, mitte tarnekviitung.