Hoe modellearje jo in VPN-stream mei ASA packet-tracer

Packet-tracer op in ASA beantwurdet in smelle fraach: soe dit pakket, dat hjir mei dizze tuple ynkomt, tastien wurde, en wêr soe it hinne gean. It beantwurdet net oft it fiere ein eat ûntfangt. De gewoane flater is in bûtenste IKE-tuple ynfiere wylst it ding dat jo teste wolle de applikaasje is dy't yn 'e tunnel rydt. Korrigearje earst de tuple, lês de fazen, en helje dan echte bewiis foar alles wat de simulatator net sjen kin.

De trochrint hjirûnder giet derfan út dat de ACL, NAT-regel en tunnel-group-kontekst foar jo lizze. Sûnder dy beskriuwt de útfier in belied dat jo net kontrolearje kinne.

Stap 1: skriuw de binnenste stream yn ienfâldige wurden

Beskriuw de applikaasje foardat jo eat ynfiere. In host oan 'e binnenkant dy't SSH iepenet nei in tsjinner efter de fiere gateway is ien binnenste TCP-stream mei in spesifike boarneport. Dat is de stream dy't de ACL en it VPN-filter beoardielje, dus dat is de stream dy't jo ynfiere.

Skriuw it as in sin, en fertaal it dan fjild foar fjild:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Stap 2: kies de yngong en de rjochting

Yngong is it ynterface dêr't it pakket op oankomt, net dat dêr't it troch fuortgiet. Foar in LAN-host dy't begjint, is dat it inside-ynterface. Foar it weromkommend pakket fan deselde sesje is dat it outside-ynterface, en de tuple keart om. It bestimming as de boarne skriuwe is de twadde meast foarkommende manier om in oertsjûgjend mar net relevante ALLOW te fertsjinjen.

Porten binne ek rjochtingsbûn. De tsjinstport heart yn it bestimmingsfjild by in begûn fersyk, en de koarte poart fan de klant heart yn it boarnefjild. In model mei TCP-bestimming 500 beskriuwt in TCP-applikaasje dy't op 500 harket; it wurdt gjin IKE-test om't it nûmer yn 'e opdracht foarkomt.

Stap 3: lês de fazen yn folchoarder

Elke faze yn 'e útfier is in beslissing mei in eigner: rûtesykjen, ACL, NAT, dan VPN- of tunnelkar. Lês se yn 'e printe folchoarder en stop by de earste faze dy't net mei it ûntwerp oerienkomt.

NAT ferrassit minsken. As de oerset boarne bûten de crypto ACL falt dy't ferkear foar de tunnel kiest, kin de stream tastien wurde en nea ynkapselje. It spoar printsje it oersette adres, dus fergelykje dat mei it ynteressante ferkear fan 'e tunnel, net mei it oarspronklike adres.

Stap 4: kontrolearje hokker omsile jo keazen hawwe

De foarm detailed nimt opsjes dy't kontrôles oerslaan, en Cisco dokumintearret in bypass-checks-opsje dy't ACL, VPN-filter, uRPF en IPsec-spoofkontrôles omfettet. In ALLOW dy't mei dy omsile krigen wurdt, seit dat de rûte en NAT wurkje soene, net dat it belied in echt pakket talitte soe. Skriuw de opsjes njonken it resultaat.

As jo it beliedsantwurd nedich hawwe, rin it dan sûnder de omsile. As jo in rûtefraach isolearje, rin it dan mei har en label it resultaat as rûte-antwurd.

Stap 5: slút de kleau mei de echte útwikseling

In simulearre tastimming stopt by de ASA. Oft de fiere gateway it pakket ûntsifere hat, oft de tsjinner de ferbining akseptearre hat en oft der in antwurd weromkaam, binne aparte waarnimmings. Brûk einpuntstellers of in smelle opname op in goedkarde paden.

Guon trace- en replay-opsjes stjoere pakketten of bewarje steat. Folgje it dokumintearre gedrach foar jo ferzje en jo goedkarde diagnostyske proseduere ynstee fan elke fariant as in allinnich-lêzen-syktocht te behanneljen.

Wat it spoar jo noch altyd net fertelle kin

Hâld fjouwer dingen yn ien notysje: de tuple, de byhearrende NAT-regel, de tunnel of it belied dat de stream drage moat, en de rjochting-spesifike waarnimming. Sûnder dy kin in lettere yngenieur in pleatslike beliedsbeslissing net skiede fan in fêstige kontrôleflak en fan in wurkjende tsjinst. In earste mislearring folge troch in sukses is ek gjin bewiis dat de tunnel der tuskenyn komme moast; skriuw de faze en de steatsferoaring op.

Begjin mei de binnenste tuple, stop by de earste faze dy't it ûntwerp tsjinsprekt, en gryp pas dêrnei nei einpuntbewiis. It spoar is in beliedsorakel, gjin bewiis fan levering.