Cisco ASA:n tunneled-oletusreitti: milloin se todella pätee

Etäkäyttäjä ei tavoita mitään ASA:n takaa, vaikka sama palvelin vastaa sisäverkosta tuleviin ping-pyyntöihin. Tunneli nousee, asiakas saa osoitteen poolista, ja paketti lähtee silti internetin oletusreittiä tai katoaa. Tämä kuvio tarkoittaa yleensä, että salattu liikenne ei löytänyt omaa reittiä ja putosi tavalliselle oletusreitille. Korjaus ei ole uusi NAT-sääntö; se on tunneled-oletusreitti.

Aloita oireesta, älä kokoonpanosta

Katso, minne paketti menee, älä minne odotit sen menevän. Kaappaus ulkorajapinnalla epäonnistuneen istunnon aikana näyttää salatun paketin matkalla ISP:n yhdyskäytävään poolin osoite vielä ehjänä, tai ei näytä mitään, koska haku epäonnistui. Kummassakin tapauksessa tunneli ei ole ongelma.

Tunneli näyttää terveeltä show vpn-sessiondb -tulosteessa, ja juuri siksi ihmiset jatkavat IKE:n virheenjäljitystä.

Tämän erottaa ACL-pudotuksesta suunta. ACL-pudotus kirjataan ja lasketaan, kun taas puuttuva reitti tuottaa hakuvirheen ilman vastaavaa merkintää. Aja show route asiakkaan kohteelle ja lue, mitä ASA todella valitsi, mukaan lukien valittiinko oletusreitti ja mikä.

Miten tunneled-haku eroaa

Ciscon ASA 9.23:n staattisen reitityksen opas dokumentoi erillisen oletusreitin salatulle VPN-liikenteelle, jolla ei ole staattista tai opittua reittiä. tunneled-avainsana merkitsee kyseisen reitin, joten salattu paketti voi pudota eri seuraavalle hypylle kuin mille ASA käyttää omaa siirtoaan. Tarkemmat reitit voittavat edelleen, ja siksi asiakas voi tavoittaa 10.0.0.0/8 sisäisen yhdyskäytävän kautta ja menettää kaiken muun.

Minimaalinen asettelu pitää kahta oletusreittiä eri seuraavilla hypyillä. Toinen kantaa ASA:n oman liikenteen ja toinen salatun liikenteen, jolla ei ole parempaa reittiä. Molempien seuraavien hyppyjen on edelleen oltava tavoitettavissa siltä rajapinnalta, johon ne kiinnität.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Jos molemmat oletusreitit osoittavat samalle seuraavalle hypylle, avainsana ei muuta mitään eikä oire liiku.

Rajoitukset, jotka ratkaisevat toimiiko se

Sama opas sallii vain yhden tunneled-oletusreitin ja ilmoittaa, ettei ECMP:tä tueta sille, joten et voi jakaa kuormaa sille polulle. Se luettelee myös rajoituksia, jotka koskevat reittien seurantaa, paluupolun varmennusta ja joitakin tarkastus- ja hallintavirtoja. Lue ne asennettua julkaisuasi vasten ennen kuin suunnittelet ominaisuuden ympärille. Suunnittelu, joka jättää ne huomiotta, epäonnistuu yleensä yhdessä tietyssä kohdassa eikä kaikkialla, ja siksi oire näyttää ajoittaiselta.

Paluupolun varmennus on se, joka puree epäsymmetrisissä suunnitelmissa. Jos vastaus saapuisi eri rajapinnan kautta kuin ASA odottaa, paketti pudotetaan ennen kuin reitityksellä on merkitystä. Korjaa topologia tai paluupolku sen sijaan, että kytkisit varmennuksen pois pakottaaksesi seuraavan hypyn.

Reittien seuranta on erillinen ansa: seurattu objekti vartioi yleensä tavallista oletusreittiä, ei tunneled-reittiä.

Mitä avainsana ei tee

Se ei valitse lähdeosoitetta, jota ASA käyttää IKE:n rakentamiseen. Tunnelan ulompi päätepiste noudattaa alustan omaa rajapinta- ja lähdevalintaa, eikä tunneled-oletusreitillä ole osuutta siihen päätökseen. Sen muuttaminen ei korjaa phase 1 -vaihetta, joka lähtee väärästä osoitteesta.

Se ei myöskään tee seuraavasta hypystä välityspalvelinta. Jos kohde odottaa HTTP CONNECT -vaihtoa, raakojen IP-pakettien lähettäminen välityspalvelimelle antaa sinulle vain isäntäpalvelimen, joka ei reititä niitä. Määritä sen sijaan asiakkaan tukema välityspalvelinmekanismi.

Eikä se luo eteenpäin välitystä alavirtaan. Yhdyskäytävä, johon osoitat, tarvitsee edelleen reitin takaisin VPN-pooliin sekä lähdeosoitteen käännöksen siellä, missä suunnittelu sitä vaatii.

Varmenna polku päästä päähän

Kun reitti on paikallaan, tarkista neljä asiaa järjestyksessä: show route poolin tarvitsemalle kohteelle, kaappaus rajapinnalla kohti uutta seuraavaa hyppyä, kaappaus itse yhdyskäytävällä ja paluupolku kyseiseltä yhdyskäytävältä poolin osoitteeseen. Kaksi ensimmäistä todistavat, että ASA valitsi polun, ja kaksi viimeistä, että joku vastaa sillä.

Jos yhdyskäytävä vastaa mutta asiakas ei koskaan näe vastausta, katso lähdeosoitteen käännöstä ja paluureittiä ennen kuin kosket reititystauluun uudelleen.

Kirjaa julkaisu, jolla validoit, koska rajoitusluettelo on versiokohtainen ja yhdellä junalla toimiva suunnittelu voi tarvita eri polun toisella. Se muistiinpano elää pidempään kuin kokoonpanokatkelma.