Cisco ASA به Azure VPN: جفت‌های پیشوند انتخابگرهای ترافیک

تونل بالا می‌آید، IKE سالم به نظر می‌رسد و هیچ چیز از آن عبور نمی‌کند. این شکل معمول یک مشکل انتخابگر ASA به Azure است، و به همین دلیل پیش از دست زدن به هر یک از دو کنسول قرارداد را می‌نویسم. قرارداد چهار چیز است: اشیایی که هر همتا را شناسایی می‌کنند، مدل اتصال، جفت‌های پیشوند دقیق و راستی‌آزمایی‌ای که هر جفت را اثبات می‌کند. اگر اینها را اشتباه کنید، هر دستور بعدی یک پیکربندی را اشکال‌زدایی می‌کند که نباید می‌ساختید. این رانبوک ترتیبی است که استفاده می‌کنم، همراه با دستورهایی که نشان می‌دهند کدام شیء واقعاً اشتباه است.

پیش از پیکربندی، چهار شیء را بنویسید

با نسخه و پلتفرم ASA، نقطه پایانی عمومی، نوع و SKU دروازه Azure VPN، و دروازه شبکه محلی که سمت شما را نمایندگی می‌کند شروع کنید. این چهار نام واژگان همه چیزهایی است که در ادامه می‌آید، و هرکدام وقتی چیزی خراب می‌شود مالک متفاوتی دارد.

اگر دو مورد از آنها هنوز حدس هستند، توقف کنید. فهرست پیشوند اشتباه در دروازه شبکه محلی یک مشکل تنظیم نیست.

یک مدل اتصال انتخاب کنید و ترکیب قالب‌ها را متوقف کنید

طرح crypto map و طرح tunnel interface پیکربندی‌های متفاوتی هستند، و قالب یکی با ویرایش آدرس همتا برای دیگری معتبر نمی‌شود. پیش از چسباندن هر چیزی ثبت کنید کدام را می‌سازید، زیرا ناسازگاری بعداً به‌صورت مشکل انتخابگر ظاهر می‌شود نه خطای پیکربندی. راهنمای هم‌کنش‌پذیری ASA مایکروسافت هر دو الگو را پوشش می‌دهد و می‌گوید هرکدام کدام مدل دروازه Azure را فرض می‌کند. اگر یادداشت‌های شما مدل را نام نمی‌برند، هنوز طرحی ندارید.

دروازه Azure مبتنی بر مسیر با انتخابگرهای ترافیک مبتنی بر خط‌مشی یک گزینه مستند مشخص است، نه پیش‌فرض. اگر طرح شما به آن وابسته است، طرح باید این را بگوید، زیرا مدل انتخابگر پیش‌فرض مبتنی بر مسیر در سمت Azure متفاوت رفتار می‌کند.

محدودیت‌های نسخه هم به قرارداد تعلق دارند. یک گزارش میدانی قدیمی درباره سقف دامنه‌های رمزنگاری یک داده درباره انتشارهای خاص است، نه ویژگی دائمی هر ASA.

جفت‌های پیشوند را فهرست کنید، نه تجمیع‌ها را

ماتریس را بنویسید. A و B محلی به X و Y در Azure چهار جفت است، و هر جفت یا پوشش یا حذف صریح نیاز دارد. ادغام A و B در یک تجمیع هر چیزی را که بین آنهاست نیز شامل می‌شود، و اینگونه است که یک طرح بی‌صدا سوراخ پیدا می‌کند.

بررسی کنید همتاها بر چه چیزی توافق کرده‌اند، نه آنچه ذخیره کرده‌اید. فهرست شبکه‌های محلی و راه دور روی ASA قصد است؛ CHILD SAها نتیجه هستند.

وقتی جفتی گم می‌شود، اصلاح معمولاً یک خط access-list یا یک ورودی انتخابگر است، نه یک تونل جدید.

با دستورهایی که شیء را نام می‌برند راستی‌آزمایی کنید

روی ASA، نشست IKE را تأیید کنید، سپس IPsec SAها، سپس جفت‌های انتخابگر. هر دستور به پرسش متفاوتی پاسخ می‌دهد، و اجرای فقط اولی راهی است که ادعای بالا بودن تونل به یک نتیجه‌گیری نادرست تبدیل می‌شود. خروجی را برای همتایی بخوانید که واقعاً پیکربندی کرده‌اید، نه برای هر SA که تصادفاً اول فهرست است. سمت Azure به همان سه پرسش از دیدگاه خودش پاسخ می‌دهد.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

سپس وضعیت اتصال را با az network vpn-connection show --name <connection> --query connectionStatus از Azure بپرسید. Connected با صفر بایت در مسیر داده یک مشکل انتخابگر است، نه مشکل مسیریابی.

برای هر جفت یک جریان مجاز را آزمایش کنید، آدرس مبدأ دیده‌شده در طرف دیگر را بررسی کنید و یک منبعی را امتحان کنید که باید رد شود. آن آزمون آخر تنها آزمونی است که ثابت می‌کند مرز هنوز وجود دارد.

دامنه رمزنگاری را از مجوز دسترسی جدا نگه دارید

انتخابگر گسترده مجوز نیست. اگر چیدمان پشتیبانی‌شده از خط‌مشی برنامه گسترده‌تر است، سرویس‌های باریک را در قواعد فایروال نگه دارید و دامنه رمزنگاری را همان‌جا که باید باشد بگذارید.

مسیرهای بار کاری Azure و مسیرهای بازگشت محلی جداگانه بررسی می‌شوند. اعلان‌های BGP، دامنه شبکه ثابت و مسیرهای تعریف‌شده توسط کاربر همه باید یک مسیر را توصیف کنند، و هیچ‌کدام نباید ترابری همتا را به‌صورت بازگشتی بگیرد.

بازگشت و اثبات اینکه کار کرد

پیش از تغییر انتخابگرها پیکربندی اجرایی قبلی را نگه دارید، و تنها دستوری را که آن را برمی‌گرداند بدانید. روی ASA این یعنی یک نسخه ذخیره‌شده و مسیر بازیابی متناظر، نه خاطره‌ای از آنچه ویرایش کردید. دستور بازیابی را وقتی تغییر هنوز فرضی است در تیکت تغییر بنویسید. سپس همان سه بررسی را دوباره اجرا کنید: وضعیت IKE، جفت‌های IPsec SA، یک جریان مجاز برای هر جفت.

اگر جفتی پس از بازیابی هنوز شکست می‌خورد، تغییر علت نبود، و همین حالا یک قطعی دوم را از خودتان دریغ کردید.