Nola modelatu VPN fluxu bat ASA packet-tracer erabiliz

ASA bateko packet-tracerek galdera estu bat erantzuten du: pakete hau, hemen tuple honekin sartzen dena, onartuko litzateke eta nora joango litzateke. Ez du erantzuten urruneko muturrak ezer jasotzen duen. Ohiko akatsa kanpoko IKE tuple bat sartzea da, probatu nahi duzun gauza tunelaren barruan doan aplikazioa denean. Lehenengo zuzendu tuplea, irakurri faseak eta gero lortu simuladoreak ikusi ezin duen guztiaren benetako frogak.

Hurrengo ibilbideak suposatzen du ACL, NAT araua eta tunnel-group testuingurua zure aurrean daudela. Haiek gabe irteerak ezin duzun egiaztatu politika bat deskribatzen du.

1. urratsa: idatzi barne-fluxua hitz arruntekin

Deskribatu aplikazioa ezer idatzi aurretik. Barruko ostalari batek urruneko atearen atzeko zerbitzari batera SSH irekitzen duenean, jatorrizko portu zehatza duen barne TCP fluxu bat da. Hori da ACL eta VPN iragazkiak ebaluatzen duten fluxua, beraz hori da idazten duzun fluxua.

Idatzi esaldi gisa eta gero itzuli eremu eremu:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

2. urratsa: aukeratu sarrera eta norabidea

Sarrera paketea iristen den interfazea da, ez uzten duena. Hasteko LAN ostalari batentzat, inside interfazea da. Sesaio bereko itzulera paketearentzat, outside interfazea da, eta tuplea alderantziz jartzen da. Helmuga jatorri gisa idaztea ALLOW sinesgarri baina garrantzirik gabea lortzeko bigarren modurik ohikoena da.

Portuek norabidea ere badute. Zerbitzuaren portua helmuga-eremuan doa hasitako eskaeran, eta bezeroaren portu efimeroa jatorri-eremuan doa. TCP helmuga 500 duen modelo batek 500ean entzuten duen TCP aplikazio bat deskribatzen du; ez da IKE proba bihurtzen zenbakia komandoan agertzeagatik.

3. urratsa: irakurri faseak ordenan

Irteerako fase bakoitza jabea duen erabaki bat da: ibilbidearen bilaketa, ACL, NAT, gero VPN edo tunelaren hautaketa. Irakurri inprimatutako ordenan eta gelditu diseinuarekin bat ez datorren lehen fasean.

NATek jendea harrapatzen du. Itzulitako jatorria tunelari trafikoa hautatzen dion crypto ACLtik kanpo geratzen bada, fluxua onar daiteke eta inoiz ez kapsulatu. Trazak itzulitako helbidea inprimatzen du, beraz alderatu tunelaren trafiko interesgarriarekin, ez jatorrizko helbidearekin.

4. urratsa: egiaztatu zein saihesbide aukeratu dituzun

detailed formak egiaztapenak saltatzen dituzten aukerak onartzen ditu, eta Ciscok bypass-checks aukera dokumentatzen du, ACL, VPN iragazkia, uRPF eta IPsec spoof egiaztapenak biltzen dituena. Haiekin lortutako ALLOWek esaten du ibilbideak eta NATek lan egingo luketela, ez politikak benetako pakete bat onartuko lukeenik. Idatzi aukerak emaitzaren ondoan.

Politikaren erantzuna behar baduzu, exekutatu saihesbiderik gabe. Ibilbide galdera bat isolatzen ari bazara, exekutatu haiekin eta markatu emaitza ibilbide-erantzun gisa.

5. urratsa: itxi aldea benetako trukearekin

Simulatutako baimena ASAn gelditzen da. Urruneko ateak paketea deszifratu duen, zerbitzariak konexioa onartu duen eta erantzun bat itzuli den behaketa bereiziak dira. Erabili muturreko kontagailuak edo harrapaketa estu bat onartutako bide batean.

Trace eta replay aukera batzuek paketeak bidaltzen dituzte edo egoera gordetzen dute. Jarraitu zure bertsiorako eta onartutako diagnostiko-prozedurarako dokumentatutako jokabidea, aldaera bakoitza irakurketa hutseko kontsulta gisa tratatu beharrean.

Trazak oraindik esan ezin dizuna

Eduki lau gauza ohar batean: tuplea, bat datorren NAT araua, fluxua eraman behar duen tunela edo politika, eta norabidearen araberako behaketa. Haiek gabe, geroko ingeniari batek ezin du bereizi tokiko politika-erabaki bat eta ezarritako kontrol-plano bat eta funtzionatzen duen zerbitzu bat. Lehen huts egite baten ondoren arrakasta bat etorriz gero, hori ere ez da frogapen tunelak tartean altxatu behar zuela; idatzi fasea eta egoera-aldaketa.

Hasi barne tuplearekin, gelditu diseinuaren aurka doan lehen fasean, eta soilik orduan joan muturreko frogengana. Traza politikaren orakulu bat da, ez entrega-agiri bat.