Cisco ASA eta Azure VPN: trafiko-hautatzaileen aurrizki bikoteak

Tunela altxatzen da, IKE osasuntsu dirudi, eta ezerk ez du zeharkatzen. Hori da ASA eta Azure arteko hautatzaile arazo baten ohiko forma, eta horregatik idazten dut kontratua bi kontsoletako edozein ukitu aurretik. Kontratua lau gauza dira: pare bakoitza identifikatzen duten objektuak, konexio-eredua, aurrizki bikote zehatzak eta bikote bakoitza frogatzen duen egiaztapena. Hauek gaizki eginez gero, ondorengo komando bakoitzak eraiki behar ez zenukeen konfigurazio bat arazten du. Runbook hau erabiltzen dudan ordena da, zein objektu den benetan oker erakusten duten komandoekin.

Idatzi lau objektuak konfiguratu aurretik

Hasi ASAren bertsio eta plataformarekin, amaiera-puntu publikoarekin, Azure VPN gatewayaren mota eta SKUarekin, eta zure aldea ordezkatzen duen tokiko sare-gatewayarekin. Lau izen horiek dira ondorengo guztiaren hiztegia, eta bakoitzak jabe desberdina du zerbait apurtzen denean.

Horietako bi oraindik suposizioak badira, gelditu. Tokiko sare-gatewayn aurrizki zerrenda okerra ez da doikuntza arazoa.

Aukeratu konexio-eredu bat eta utzi txantiloiak nahasten

Crypto map diseinu bat eta tunnel interface diseinu bat konfigurazio desberdinak dira, eta baten txantiloia ez da bestearentzat baliozkoa bihurtzen parearen helbidea editatuaz. Idatzi zein ari zaren eraikitzen ezer itsatsi aurretik, ezberdintasuna geroago hautatzaile arazo gisa agertzen baita, ez konfigurazio errore gisa. Microsoften ASA interoperabilitate gidak bi ereduak hartzen ditu eta bakoitzak zein Azure gateway eredu suposatzen duen adierazten du. Zure oharrek eredua izendatzen ez badute, oraindik ez duzu diseinurik.

Politiketan oinarritutako trafiko-hautatzaileak dituen bideetan oinarritutako Azure gatewaya dokumentatutako aukera zehatza da, ez lehenetsia. Zure diseinua horren mende badago, diseinuak hori esan behar du, bideetan oinarritutako hautatzaile eredu lehenetsiak modu desberdinean jokatzen baitu Azureren aldean.

Bertsio-mugak ere kontratuaren parte dira. Zifratze-domeinuei buruzko muga bati buruzko landa-txosten zahar bat argitalpen zehatzei buruzko datua da, ez ASA bakoitzaren ezaugarri iraunkorra.

Zerrendatu aurrizki bikoteak, ez agregatuak

Idatzi matrizea. Tokiko A eta B Azureko X eta Y-ra lau bikote dira, eta bakoitzak estaldura edo bazterketa esplizitua behar du. A eta B agregatu bakarrean biltzeak haien artean dagoen guztia ere sartzen du, eta horrela diseinu batek isil-isilik zulo bat lortzen du.

Egiaztatu pareek negoziatu dutena, ez zer gorde duzun. ASAn tokiko eta urruneko sareen zerrenda intentzioa da; CHILD SA-ak dira emaitza.

Bikote bat falta denean, konponbidea normalean access-list lerro bat edo hautatzaile sarrera bat da, ez tunel berri bat.

Egiaztatu objektua izendatzen duten komandoekin

ASAn, berretsi IKE saioa, gero IPsec SA-ak, gero hautatzaile bikoteak. Komando bakoitzak galdera desberdin bati erantzuten dio, eta lehenengoa soilik exekutatzea da tunela gora dagoela dioen baieztapena ondorio faltsu bihurtzen den modua. Irakurri benetan konfiguratu duzun parearen irteera, zerrendan lehenengoa izateagatik gertatzen den SA-arena ez. Azureren aldeak hiru galdera berberei erantzuten die bere ikuspegitik.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Gero galdetu Azureri konexioaren egoera az network vpn-connection show --name <connection> --query connectionStatus erabiliz. Connected zero byte-rekin datu-bidean hautatzaile arazoa da, ez bideratze arazoa.

Probatu baimendutako fluxu bat bikote bakoitzeko, aztertu beste aldean ikusitako iturburu helbidea, eta saiatu ukatu beharko litzatekeen baliabide batekin. Azken proba hori da muga oraindik badagoela frogatzen duen bakarra.

Eduki zifratze-eremua sarbide-baimenagandik bereizita

Hautatzaile zabala ez da baimena. Onartutako diseinua aplikazioaren politik baino zabalagoa bada, eduki zerbitzu estuak suebakiko arauetan eta utzi zifratze-eremua egon behar duen tokian.

Azureko lan-karga bideak eta tokiko itzulera bideak bereiz berrikusten dira. BGP iragarkiek, sare-eremu estatikoak eta erabiltzaileak definitutako bideek bide bera deskribatu behar dute, eta batek ere ezin du parearen garraioa errekurtsiboki harrapatu.

Atzera egitea eta funtzionatu duen froga

Gorde aurreko exekuzio-konfigurazioa hautatzaileak aldatu aurretik, eta jakin hori itzultzen duen komando bakarra. ASAn horrek gordetako kopia bat eta dagokion berreskuratze-bidea esan nahi du, ez editatu duzunaren memoria. Idatzi berreskuratze-komandoa aldaketa-txartelean, aldaketa oraindik hipotetikoa den bitartean. Gero exekutatu berriro hiru egiaztapen berberak: IKE egoera, IPsec SA bikoteak, bikoteko fluxu baimendu bat.

Berreskuratzearen ondoren bikoteak huts egiten badu oraindik, aldaketa ez zen arrazoia, eta bigarren etenaldi bat aurreztu duzu.