Conas sreabhadh VPN a shamhaltú le ASA packet-tracer

Freagraíonn packet-tracer ar ASA ceist chúng: an gceadófaí an paicéad seo, a thagann isteach anseo leis an tuple seo, agus cá rachadh sé. Ní fhreagraíonn sé an bhfaigheann an fharcheann rud ar bith. Is é an botún is coitianta tuple IKE seachtrach a chothú nuair is é an t-aip is mian leat a thástáil an ceann a théann taobh istigh den tollán. Ceartaigh an tuple ar dtús, léigh na céimeanna, agus ansin faigh fianaise fhíor ar gach rud nach féidir leis an insamhlóir a fheiceáil.

Glacann an siúlóid thíos leis go bhfuil an ACL, an riail NAT agus comhthéacs tunnel-group os do chomhair. Gan iad cuireann an t-aschur síos ar pholasaí nach féidir leat a sheiceáil.

Céim 1: scríobh an sreabhadh istigh i bhfocail shimplí

Déan cur síos ar an aip sula gclóscríobhann tú aon rud. Is éard atá in óstach ar an taobh istigh a osclaíonn SSH chuig freastalaí taobh thiar den gheata i bhfad ná sreabhadh TCP istigh amháin le port foinse ar leith. Sin an sreabhadh a mheasann an ACL agus an scagaire VPN, mar sin sin an sreabhadh a chlóscríobhann tú.

Scríobh é mar abairt, agus ansin aistrigh é réimse ar réimse:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Céim 2: roghnaigh an t-iontráil agus an treo

Is é an t-iontráil an comhéadan a dtagann an paicéad air, ní an ceann a fhágann sé. Do óstach LAN a thosaíonn, is é an comhéadan inside é. Do phaicéad fillte an tseisiúin chéanna, is é an comhéadan outside é, agus iompaíonn an tuple. Is é an ceann scríbe a scríobh mar an fhoinse an dara bealach is coitianta chun ALLOW diongbháilte ach neamhábhartha a thuilleamh.

Tá treo ag na poirt freisin. Baineann port na seirbhíse leis an réimse ceann scríbe do iarratas tosaithe, agus baineann port éadrom an chliaint leis an réimse foinse. Déanann samhail le ceann scríbe TCP 500 cur síos ar aip TCP atá ag éisteacht ar 500; ní éiríonn sí ina tástáil IKE toisc go bhfeictear an uimhir san ordú.

Céim 3: léigh na céimeanna in ord

Is cinneadh le húinéir gach céim san aschur: cuardach róid, ACL, NAT, ansin roghnú VPN nó tolláin. Léigh iad san ord clóite agus stad ag an gcéad chéim nach n-aontaíonn leis an dearadh.

Cuireann NAT iontas ar dhaoine. Má thiteann an fhoinse aistrithe taobh amuigh den crypto ACL a roghnaíonn trácht don tollán, féadfar an sreabhadh a cheadú agus gan é a insealbhú riamh. Priontálann an lorg an seoladh aistrithe, mar sin déan é a chur i gcomparáid le trácht suimiúil an tolláin seachas leis an seoladh bunaidh.

Céim 4: seiceáil cé na seachaintí a roghnaigh tú

Glacann an fhoirm detailed le roghanna a scipeáil seiceálacha, agus déanann Cisco doiciméadú ar rogha bypass-checks a chlúdaíonn ACL, scagaire VPN, uRPF agus seiceálacha brionnaithe IPsec. Deir ALLOW a fhaightear agus iad siúd scipeáilte go n-oibreodh an ród agus NAT, ní go nglacfadh an polasaí le paicéad fíor. Taifead na roghanna in aice an toraidh.

Má theastaíonn freagra an pholasaí uait, rith é gan na seachaintí. Má tá ceist ródaithe á leithlisiú agat, rith é leo agus lipéadaigh an toradh mar fhreagra ródaithe.

Céim 5: dún an bhearna leis an malartú fíor

Stadann cead insamhlaithe ag an ASA. Cibé ar dhíchriptigh an geata i bhfad an paicéad, ar ghlac an freastalaí leis an nasc, agus ar tháinig freagra ar ais, is breathnuithe ar leith iad. Úsáid áirimh deiridh nó gabháil chúng ar chonair cheadaithe.

Tarchuireann roinnt roghanna trace agus replay paicéid nó coinníonn siad staid. Lean an t-iompar doiciméadaithe do do eisiúint agus do do nós imeachta diagnóisice ceadaithe in ionad gach malairt a láimhseáil mar fhiosrú léamh-amháin.

Cad nach féidir leis an lorg a insint duit fós

Coinnigh ceithre rud i nóta amháin: an tuple, an riail NAT a mheaitseálann, an tollán nó an polasaí ba chóir a iompar an sreabhadh, agus an bhreathnú atá sonrach don treo. Gan iad ní féidir le hinnealtóir níos déanaí cinneadh polasaí áitiúil a dheighilt ó phlána rialaithe bunaithe agus ó sheirbhís atá ag obair. Ní cruthúnas é teip chéad a leanann rath ach an oiread go raibh ar an tollán éirí suas idir an dá linn; taifead an chéim agus an t-athrú staid.

Tosaigh leis an tuple istigh, stad ag an gcéad chéim a théann i gcoinne an dearaidh, agus ansin amháin sroich fianaise deiridh. Is oracal polasaí é an lorg, ní admháil seachadta.