Cisco ASA go Azure VPN: péirí réimíreanna na roghnóirí tráchta

Éiríonn an tollán, breathnaíonn IKE sláintiúil, agus ní théann aon rud tríd. Sin an ghnáthchruth atá ar fhadhb roghnóra ASA go Azure, agus sin é an fáth a scríobhaim an conradh sula dteagmhálaim le ceachtar den dá chonsól. Is ceithre rud é an conradh: na réada a aithníonn gach piara, múnla an naisc, na péirí réimíreanna beachta agus an fíorú a chruthaíonn gach péire. Má dhéantar iad seo mícheart, déanann gach ordú ina dhiaidh sin dífhabhtú ar chumraíocht nár cheart duit a bheith tógtha. Is é an runbook seo an t-ordú a úsáidim, mar aon leis na horduithe a thaispeánann cén réad atá mícheart i ndáiríre.

Scríobh síos na ceithre réad sula ndéantar cumraíocht

Tosaigh le heisiúint agus le hardán ASA, an críochphointe poiblí, cineál agus SKU an gheata Azure VPN, agus an geata líonra áitiúil a sheasann do do thaobhsa. Is iad na ceithre ainm sin stór focal gach a leanann, agus tá úinéir éagsúil ag gach ceann nuair a théann rud éigin ó mhaith.

Má tá beirt acu fós ina mbuailtí, stop. Ní fadhb choigeartaithe í liosta réimíreanna mhícheart ar an ngeata líonra áitiúil.

Roghnaigh aon mhúnla naisc amháin agus stop ag meascadh teimpléad

Is cumraíochtaí éagsúla iad dearadh crypto map agus dearadh tunnel interface, agus ní éiríonn teimpléad do cheann amháin bailí don cheann eile trí sheoladh an phiara a chur in eagar. Nóta cé acu atá á thógáil agat sula gcuireann tú aon rud isteach, mar a thagann an neamhréireacht chun solais níos déanaí mar fhadhb roghnóra seach mar earráid chumraíochta. Clúdaíonn treoir idir-inoibritheachta ASA Microsoft an dá phatrún agus luann sí cén múnla geata Azure a ghlacann gach ceann. Mura n-ainmníonn do nótaí an múnla, níl dearadh agat fós.

Is rogha dhoiciméadaithe shonrach é geata Azure bunaithe ar bhealaí le roghnóirí tráchta bunaithe ar pholasaí, ní an réamhshocrú. Má tá do dhearadh ag brath air, caithfidh an dearadh sin a rá, mar a iompraíonn an múnla réamhshocraithe roghnóra bunaithe ar bhealaí go difriúil ar thaobh Azure.

Baineann teorainneacha leagan leis an gconradh freisin. Is sonra é seantuairiscint allamuigh faoi uasteorainn ar fhearainn chriptithe faoi eisiúintí áirithe, ní airí buan gach ASA.

Liostaigh na péirí réimíreanna, ní na comhiomláin

Scríobh an mhaitrís. Is é A agus B áitiúla go X agus Y Azure ceithre péire, agus teastaíonn clúdach nó eisiamh sainráite ó gach ceann acu. Cuimsíonn comhthiomsú A agus B in aon chomhiomlán freisin gach rud a bhíonn eatarthu, agus is mar sin a fhaigheann dearadh poll go ciúin.

Seiceáil cad a d'aontaigh na piaraí, ní cad a shábháil tú. Is éard atá i liosta na líonraí áitiúla agus iargúlta ar an ASA ná rún; is iad na CHILD SA an toradh.

Nuair a bhíonn péire ar iarraidh, is gnách gur líne access-list nó iontráil roghnóra an deisiúchán, ní tollán nua.

Fíoraigh le horduithe a ainmníonn an réad

Ar an ASA, deimhnigh an seisiún IKE, ansin na IPsec SA, ansin na péirí roghnóirí. Freagraíonn gach ordú ceist dhifriúil, agus is é rith an chéad cheann amháin an bealach a n-athraíonn an ráiteas go bhfuil an tollán suas ina chonclúid bhréagach. Léigh an t-aschur don phiara a chumraigh tú i ndáiríre, ní don SA a tharlaíonn a bheith ar an gcéad cheann ar an liosta. Freagraíonn taobh Azure na trí cheist chéanna óna thaobh féin.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Ansin iarr ar Azure staid an naisc le az network vpn-connection show --name <connection> --query connectionStatus. Is fadhb roghnóra é Connected le nialas beart sa chonair sonraí, ní fadhb ródaithe.

Tástáil sreabhadh amháin ceadaithe in aghaidh an phéire, scrúdaigh an seoladh foinse a fheictear ar an taobh eile, agus triail acmhainn amháin ar cheart diúltú di. Is é an tástáil dheireanach sin an t-aon cheann a chruthaíonn go bhfuil an teorainn ann fós.

Coinnigh raon feidhme an chriptithe ar leithligh ó chead rochtana

Ní cead é roghnóir leathan. Má tá an leagan amach tacaíochta níos leithne ná polasaí an fheidhmchláir, coinnigh na seirbhísí cúnga sna rialacha balla dóiteáin agus fág raon feidhme an chriptithe san áit a gcaithfidh sé a bheith.

Déantar bealaí ualaigh Azure agus bealaí fillte áitiúla a athbhreithniú ar leithligh. Caithfidh fógraí BGP, raon feidhme statach líonra agus bealaí atá sainithe ag an úsáideoir cur síos a dhéanamh ar an mbealach céanna, agus ní fhéadfaidh aon cheann acu iompar an phiara a ghabháil go hathchúrsach.

Aischur agus an cruthúnas gur oibrigh sé

Coinnigh an chumraíocht reatha roimhe sin sula n-athraíonn tú roghnóirí, agus bíodh a fhios agat an t-aon ordú a chuireann ar ais í. Ar an ASA ciallaíonn sé sin cóip shábháilte agus an chonair athshlánaithe chomhfhreagrach, ní cuimhne ar an rud a chuir tú in eagar. Scríobh an t-ordú athshlánaithe sa ticéad athraithe fad a bhíonn an t-athrú hipitéiseach fós. Ansin rith na trí sheiceáil chéanna arís: staid IKE, péirí IPsec SA, sreabhadh amháin ceadaithe in aghaidh an phéire.

Má theipeann ar phéire fós tar éis an athshlánaithe, níorbh é an t-athrú ba chúis leis, agus tá an dara bristeacha saor agat anois.