ASAren DHCP erreléa gune-guneko VPN baten gainean: urratsez urrats

Erreléa hiru etapatan lan egiten du, eta erdikoak bakarrik zeharkatzen du VPNa. Bezeroak difusio bat bidaltzen du adarreko segmentuan, ASA-k difusio hori DHCP zerbitzarirako unicast eskaera bihurtzen du, eta zerbitzariak erreléaren helbideari erantzuten dio, ez bezeroari. Jarraitu etapak ordena horretan, eta «erreléa hondatuta dago» kasuen gehiengoa falta den politika batera edo gaizki irakurritako setroute ilara batera murrizten da.

Lehen etapa: gaitu erreléa bezeroari begira dagoen interfazean

Adarreko ASA-n erreléa bezeroei begira dagoen interfazearen propietatea da. Zerbitzaria globalean deklara daiteke bere interfaze eskuragarriarekin, edo bezeroari begira dagoen interfaze horren azpian, bideratze-taulak irteera aukeratu dezan. Bi forma horiek ez dira trukagarriak, eta okerra kopiatzea da ibilbide bat lehen aldiz okertzen den lekua.

Ezer aldatu aurretik egiaztatu martxan dagoen konfigurazioa: zein interfazek du erreléa gaituta, zein zerbitzari-forma dagoen eta ea setroute bezeroaren interfazeari lotuta dagoen. ASA-k beste segmentu baterako DHCP zerbitzaria ere badarabil, gelditu eta irakurri murrizketen zerrenda; zerbitzaria eta erreléa ezin dira aldi berean gaitu gailu berean.

Erreléak bere bezeroarekiko helbidea atebide-helbide eremuan jartzen du. Helbide horri erantzungo dio zerbitzariak, beraz existitzen den gune urrunetik tunelaren bidez eskuragarri egon behar du, ez bakarrik lokalki.

Bigarren etapa: eraman ASA-k sortutako trafikoa tunelaren bidez

Hau da jendeak saltatzen duen urratsa. Politikan oinarritutako gune-guneko VPN bat normalean azpisareen arteko trafikorako eraikitzen da, eta errelé eskaera ASA-k berak sortzen du. Tunelaren sarbide-zerrenda eta crypto mapa adarreko ostalaritik zerbitzariaren azpisarera doazen fluxuekin bakarrik bat badatoz, baliteke errelé paketea inoiz tunelean sartzea. Egiaztatu sarbide-zerrenda bi noranzkoetan, ez bakarrik adarretik zerbitzarirako ilaran.

Egiaztatu trafiko interesgarriak ASA-ren errelé iturburua eta zerbitzariaren helbidea hartzen dituela, eta itzulerako noranzkoa ere baimenduta dagoela. VTI-n oinarritutako diseinuan bideratze-erabakia sinpleagoa da, baina VTI bidezko errelé euskarria bertsio jakin batean iritsi zen; ASAren DHCP gidak 9.14(1) adierazten du, beraz egiaztatu irudia VTI adibidea gailu zaharrago batera kopiatu aurretik.

ASA-tik zerbitzarirako ping batek gutxi frogatzen du bere horretan. Beste bide batetik, beste iturburu-helbide batekin edo erreléaren paketeek betetzen ez duten politika baten pean arrakastatsua izan daiteke.

Hirugarren etapa: irakurri erantzuna eta setroute aukera

RFC 2131ek dio zerbitzariak bere erantzuna giaddr eremuko helbidera bidaltzen duela eremu hori zero ez denean. Beraz, itzulerako bideak erreléaren helbidera bideratu behar du, eta tunel-politikak zerbitzaritik errelérako noranzkoa baimendu behar du. Eskaerak zeharkatu baina eskaintza inoiz iristen ez bada, hemen begiratu behar da.

Gero bereizi antzekoak diruditen bi gauza. setroute gako-hitzak ASA-k bezeroari ematen dion bideratzaile lehenetsiaren aukera aldatzen edo gehitzen du. Ez du biderik instalatzen ASA-n eta ez du VPN politikarik sortzen. Helbidea lortu baina inora iristen ez den bezeroak maiz setroute edo esparru arazoa izaten du, ez tunel arazoa. Probatu atebide estatiko gabeko bezero batekin eta begiratu zein bideratzaile lehenetsi agertzen den eskaintzan.

Irakurri eskaintza hasieratik amaierara: eskainitako helbidea, maskara, bideratzaile lehenetsia, DNS eta alokairu-denbora. Ondoren utzi alokairua berritzen. Behin funtzionatu eta berritzean huts egiten duen erreléak normalean esparru, alokairu edo itzulera-bide arazoa du, lehen trukeak ezkutatu zuena.

Zer egiaztatzen dudan konpondutzat eman aurretik

Hasi bezeroarengandik eta harrapatu difusioa, gero egiaztatu ASA-k bere helbidea giaddr gisa erabiliz birbidali zuela. Urruneko aldean egiaztatu zerbitzariak eskaera hori ikusi zuela eta adarrari dagokion esparrua aukeratu zuela. Adarrera itzulita egiaztatu bezeroak eskaintza onartu zuela eta bere atebidea iristen duela.

Etaparen bat isilik badago, egiaztatu dagokion politika edo bidea errelé adierazpen gehiago gehitu beharrean. Erreléaren konfigurazioa normalean zuzena izaten da norbaitek eskalatzen duenerako; tunel-politika edo itzulera-bidea da aldatu dena.

Idatzi hiru etapak aldaketa-erregistroan: bezeroari begirako interfazea, errelé trafikoa estaltzen duen VPN politika eta zerbitzariaren itzulera-bidea giaddr helbidera. Erregistro horrek egiten du hurrengo adarren eraikuntza lan errepikagarri, arazketa-saioaren ordez. Hurrengo ingeniariari ere esaten dio zein komando-irteera bildu lehenengo.