Cisco ASA - Azure VPN: liikenteenvalitsimien etuliiteparit

Tunneli nousee, IKE näyttää terveeltä, eikä mikään kulje sen läpi. Se on ASA–Azure-valitsinongelman tavallinen muoto, ja siksi kirjoitan sopimuksen ennen kuin kosken kumpaankaan konsoliin. Sopimus on neljä asiaa: objektit, jotka tunnistavat kunkin vastapuolen, yhteysmallin, tarkat etuliiteparit ja varmennuksen, joka todistaa jokaisen parin. Jos nämä menee pieleen, jokainen myöhempi komento debuggaa konfiguraatiota, jota sinun ei olisi pitänyt rakentaa. Tämä runbook on käyttämäni järjestys, yhdessä komentojen kanssa, jotka näyttävät mikä objekti on oikeasti väärin.

Kirjoita neljä objektia muistiin ennen konfigurointia

Aloita ASA:n julkaisusta ja alustasta, julkisesta päätepisteestä, Azure VPN -yhdyskäytävän tyypistä ja SKU:sta sekä paikallisesta verkkoväylästä, joka edustaa sinun puoltasi. Nämä neljä nimeä ovat kaiken seuraavan sanasto, ja jokaisella on eri omistaja, kun jotain hajoaa.

Jos kaksi niistä on vielä arvauksia, pysähdy. Väärä etuliitelista paikallisessa verkkoväylässä ei ole viritysongelma.

Valitse yksi yhteysmalli ja lopeta mallipohjien sekoittaminen

Crypto map -suunnittelu ja tunnel interface -suunnittelu ovat eri konfiguraatioita, eikä toisen mallipohja tule toiselle kelvolliseksi muuttamalla vastapuolen osoitetta. Kirjaa, kumpaa rakennat, ennen kuin liität mitään, koska eroavaisuus näkyy myöhemmin valitsinongelmana eikä konfiguraatiovirheenä. Microsoftin ASA-yhteensopivuusopas kattaa molemmat mallit ja kertoo, mitä Azure-yhdyskäytävämallia kumpikin olettaa. Jos muistiinpanosi eivät nimeä mallia, sinulla ei ole vielä suunnitelmaa.

Käytäntöpohjaisilla liikenteenvalitsimilla varustettu reittipohjainen Azure-yhdyskäytävä on erityinen dokumentoitu vaihtoehto, ei oletus. Jos suunnitelmasi riippuu siitä, suunnitelman on sanottava se, koska oletusarvoinen reittipohjainen valitsinmalli käyttäytyy Azure-puolella eri tavalla.

Versiorajoitukset kuuluvat myös sopimukseen. Vanha kenttäraportti salausdomeenien ylärajasta on datapiste tietyistä julkaisuista, ei jokaisen ASA:n pysyvä ominaisuus.

Luettele etuliiteparit, älä aggregaatteja

Kirjoita matriisi. Paikalliset A ja B Azureen X ja Y ovat neljä paria, ja jokainen tarvitsee joko kattavuuden tai nimenomaisen poissulkemisen. A:n ja B:n yhdistäminen yhdeksi aggregaatiksi sisältää myös kaiken niiden välissä, ja niin suunnitelmaan syntyy hiljaa reikä.

Tarkista, mitä vastapuolet neuvottelivat, älä sitä mitä tallensit. Paikallisten ja etäverkkojen lista ASA:ssa on aikomus; CHILD SA:t ovat tulos.

Kun pari puuttuu, korjaus on yleensä access-list-rivi tai valitsinmerkintä, ei uusi tunneli.

Varmenna komennoilla, jotka nimeävät objektin

Vahvista ASA:ssa IKE-istunto, sitten IPsec SA:t, sitten valitsinparit. Jokainen komento vastaa eri kysymykseen, ja vain ensimmäisen ajaminen on se tapa, jolla väite tunnelin olevan ylhäällä muuttuu vääräksi johtopäätökseksi. Lue tuloste siltä vastapuolelta, jonka todella konfiguroit, älä siltä SA:lta, joka sattuu olemaan listan ensimmäinen. Azure-puoli vastaa samoihin kolmeen kysymykseen omasta näkökulmastaan.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Kysy sitten Azurelta yhteyden tila komennolla az network vpn-connection show --name <connection> --query connectionStatus. Connected nollalla tavulla datapolulla on valitsinongelma, ei reititysongelma.

Testaa yksi sallittu virta paria kohden, tarkastele toisella puolella näkyvää lähdeosoitetta ja kokeile yhtä resurssia, joka pitäisi hylätä. Juuri tuo viimeinen testi on ainoa, joka todistaa, että raja on yhä olemassa.

Pidä salauslaajuus erillään käyttöoikeudesta

Leveä valitsin ei ole käyttöoikeus. Jos tuettu asettelu on sovelluskäytäntöä leveämpi, pidä kapeat palvelut palomuurisäännöissä ja jätä salauslaajuus sinne, missä sen on oltava.

Azure-työkuormareitit ja paikalliset paluureitit tarkastellaan erikseen. BGP-ilmoitusten, staattisen verkkolaajuuden ja käyttäjän määrittämien reittien on kaikkien kuvattava sama polku, eikä mikään niistä saa siepata vastapuolen siirtoa rekursiivisesti.

Peruutus ja todiste siitä, että se toimi

Tallenna edellinen käynnissä oleva konfiguraatio ennen valitsimien muuttamista ja tiedä se yksi komento, joka palauttaa sen. ASA:ssa se tarkoittaa tallennettua kopiota ja vastaavaa palautuspolkua, ei muistikuvaa siitä, mitä muokkasit. Kirjoita palautuskomento muutostikettiin, kun muutos on vielä hypoteettinen. Aja sitten samat kolme tarkistusta uudelleen: IKE-tila, IPsec SA -parit, yksi sallittu virta paria kohden.

Jos pari epäonnistuu silti palautuksen jälkeen, muutos ei ollut syy, ja säästyit juuri toiselta katkokselta.