Rian réamhshocraithe tunnellaithe Cisco ASA: cathain a thagann sé i bhfeidhm i ndáiríre

Ní féidir le húsáideoir rochtana cianda aon rud a bhaint amach thar an ASA agus an freastalaí céanna ag freagairt ping ón LAN inmheánach. Tagann an tollán aníos, faigheann an cliant seoladh ón umar, agus fós féin fágann an paicéad tríd an réamhshocrú idirlín nó imíonn sé. De ghnáth ciallaíonn an patrún sin nach bhfuair an trácht díchriptithe aon rian dá chuid féin agus gur thit sé ar an ngnáth-réamhshocrú. Ní riail NAT eile an réiteach; is é an réamhshocrú tunnellaithe é.

Tosaigh leis an symptom, ní leis an gcumraíocht

Féach cá dtéann an paicéad seachas cá raibh súil agat go rachadh sé. Taispeánann gabháil ar an gcomhéadan seachtrach le linn seisiúin theipte an paicéad díchriptithe ag dul i dtreo geata an ISP agus seoladh an umair fós slán, nó ní thaispeánann sé faic mar gur theip ar an gcuardach. Cibé acu, ní hé an tollán an fhadhb.

Breathnaíonn an tollán sláintiúil in show vpn-sessiondb, agus sin go díreach an fáth a leanann daoine ag dífhabhtú IKE.

Is é an treo a dhealaíonn é seo ó mhúchadh ACL. Déantar múchadh ACL a logáil agus a chomhaireamh, ach cruthaíonn rian atá ar iarraidh teip chuardaigh gan aon iontráil mheaitseála. Rith show route do cheann scríbe an chliaint agus léigh cad a roghnaigh an ASA i ndáiríre, lena n-áirítear ar roghnaíodh réamhshocrú agus cé acu.

Conas a bhíonn an cuardach tunnellaithe difriúil

Déanann treoir ródaithe statach ASA 9.23 Cisco doiciméadú ar réamhshocrú ar leith do thrácht VPN díchriptithe nach bhfuil aon rian statach nó foghlamtha aige. Marcálann an eochairfhocal tunneled an rian sin, mar sin féadann paicéad díchriptithe titim ar an gcéad hop eile atá difriúil ón gceann a úsáideann an ASA dá iompar féin. Buaann rianta níos sonraí fós, agus is é sin an fáth gur féidir le cliant 10.0.0.0/8 a rochtain tríd an ngeata inmheánach agus gach rud eile a chailleadh.

Coinníonn leagan amach íosta dhá réamhshocrú le chéad hops eile difriúla. Iompraíonn ceann amháin trácht an ASA féin, agus iompraíonn ceann eile trácht díchriptithe nach bhfuil aon rian níos fearr aige. Caithfidh an dá chéad hop eile a bheith inrochtana fós ón gcomhéadan a cheanglaíonn tú leo iad.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Má threoraíonn an dá réamhshocrú chuig an gcéad hop céanna, ní athraíonn an eochairfhocal aon rud agus ní bhogfaidh an symptom.

Na srianta a shocraíonn an n-oibreoidh sé

Ní cheadaíonn an treoir chéanna ach aon réamhshocrú tunnellaithe amháin agus deir sí nach dtacaítear le ECMP dó, mar sin ní féidir leat an cosán sin a ualach-roinnt. Liostaíonn sí freisin srianta a bhaineann le rianta a rianú, fíorú an chonair droim ar ais agus roinnt sruthanna cigireachta agus bainistíochta. Léigh iad i gcoinne an eisiúna atá suiteáilte agat sula ndéanfaidh tú dearadh timpeall na gné. Teipeann dearadh a dhéanann neamhaird díobh de ghnáth ag aon phointe sonrach seachas i ngach áit, agus is é sin an fáth a bhfuil cuma eatramhach ar an symptom.

Is é fíorú an chonair droim ar ais an ceann a bhíonn ag baint in dearuithe neamhshiméadracha. Dá dtiocfadh an freagra trí chomhéadan difriúil ón gceann a bhfuil súil ag an ASA leis, caitear an paicéad sula mbíonn aon tábhacht ag ródú. Deisigh an topolaíocht nó an cosán fillte in ionad an fhíorú a mhúchadh chun céad hop eile a fhorchur.

Is gaiste ar leith é rianú rianta: de ghnáth cosnaíonn an réad a rianófar an gnáth-réamhshocrú, ní an ceann tunnellaithe.

Cad nach ndéanann an eochairfhocal

Ní roghnaíonn sé an seoladh foinse a úsáideann an ASA chun IKE a thógáil. Leanann deireadh seachtrach an tolláin roghnú comhéadain agus foinse an ardáin féin, agus níl aon pháirt ag an réamhshocrú tunnellaithe sa chinneadh sin. Ní dheiseoidh athrú air sin phase 1 a thagann ón seoladh mícheart.

Ní dhéanann sé seachfhreastalaí den chéad hop eile ach an oiread. Má tá súil ag an gceann scríbe le malartú HTTP CONNECT, ní thugann seoladh paicéad IP amh go hóstach seachfhreastalaí duit ach óstach nach ndéanann iad a ródú. Cumraigh meicníocht an tseachfhreastalaí a thacaíonn an cliant léi ina ionad.

Agus ní chruthaíonn sé aon seoladh ar aghaidh síos an sruth. Teastaíonn rian ar ais chuig umar VPN ón geata a dtugann tú aghaidh air fós, chomh maith le haistriú foinse san áit a n-éilíonn an dearadh é.

Fíoraigh an cosán ó cheann go ceann

Nuair a bheidh an rian ina áit, seiceáil ceithre rud in ord: show route do cheann scríbe a theastaíonn ón umar, gabháil ar an gcomhéadan i dtreo an chéad hop nua, gabháil ar an ngeata féin, agus cosán fillte ón ngeata sin chuig seoladh an umair. Cruthaíonn an chéad dá cheann gur roghnaigh an ASA an cosán, agus cruthaíonn an dá cheann deireanacha go bhfreagraíonn duine éigin air.

Má fhreagraíonn an geata ach nach bhfeiceann an cliant freagra riamh, féach ar aistriú foinse agus ar an rian freagartha sula dtagann tú ar an tábla ródaithe arís.

Taifead an t-eisiúin ar a ndearna tú bailíochtú, mar tá an liosta srianta sonrach don eisiúin agus d'fhéadfadh dearadh a oibríonn ar aon traein cosán difriúil a theastáil ar cheann eile. Maireann an nóta sin níos faide ná an sliocht cumraíochta.