Cisco ASA થી Azure VPN: ટ્રાફિક સિલેક્ટર પ્રિફિક્સ જોડીઓ

ટનલ ઉપર આવે છે, IKE સ્વસ્થ દેખાય છે, અને તેમાંથી કંઈ પસાર થતું નથી. ASA થી Azure સિલેક્ટર સમસ્યાનો આ સામાન્ય આકાર છે, અને એટલે જ બંનેમાંથી કોઈ પણ કન્સોલને સ્પર્શ કરતાં પહેલાં હું કરાર લખું છું. કરાર ચાર વસ્તુઓ છે: દરેક પીઅરને ઓળખતા ઑબ્જેક્ટ, જોડાણ મોડેલ, ચોક્કસ પ્રિફિક્સ જોડીઓ અને દરેક જોડી સાબિત કરતી ચકાસણી. આ ખોટા થાય તો પછીનો દરેક આદેશ એવી કન્ફિગરેશન ડિબગ કરે છે જે તમારે બનાવવી ન જોઈતી હતી. આ રનબુક એ ક્રમ છે જે હું વાપરું છું, સાથે એ આદેશો જે બતાવે છે કે કયો ઑબ્જેક્ટ ખરેખર ખોટો છે.

કન્ફિગર કરતાં પહેલાં ચાર ઑબ્જેક્ટ લખી લો

ASA રિલીઝ અને પ્લેટફોર્મ, પબ્લિક એન્ડપોઇન્ટ, Azure VPN ગેટવેનો પ્રકાર અને SKU, અને તમારી બાજુનું પ્રતિનિધિત્વ કરતું લોકલ નેટવર્ક ગેટવેથી શરૂ કરો. આ ચાર નામો આગળની બધી વસ્તુની શબ્દાવલી છે, અને કંઈક તૂટે ત્યારે દરેકનો માલિક અલગ હોય છે.

જો તેમાંથી બે હજી અનુમાન હોય, તો થોભો. લોકલ નેટવર્ક ગેટવે પર ખોટી પ્રિફિક્સ યાદી એ ટ્યુનિંગ સમસ્યા નથી.

એક જોડાણ મોડેલ પસંદ કરો અને ટેમ્પલેટ ભેળવવાનું બંધ કરો

ક્રિપ્ટો-મેપ ડિઝાઇન અને ટનલ-ઇન્ટરફેસ ડિઝાઇન અલગ કન્ફિગરેશન છે, અને એકનું ટેમ્પલેટ પીઅર સરનામું બદલીને બીજા માટે માન્ય બનતું નથી. કંઈ પેસ્ટ કરતાં પહેલાં નોંધો કે કઈ બનાવી રહ્યા છો, કારણ કે અસંગતિ પછી કન્ફિગરેશન ભૂલ તરીકે નહીં, સિલેક્ટર સમસ્યા તરીકે દેખાય છે. Microsoftની ASA આંતરક્રિયાશીલતા માર્ગદર્શિકા બંને પેટર્ન આવરી લે છે અને જણાવે છે કે દરેક કયું Azure ગેટવે મોડેલ ધારે છે. જો તમારી નોંધમાં મોડેલનું નામ ન હોય, તો તમારી પાસે હજી ડિઝાઇન નથી.

પોલિસી-આધારિત ટ્રાફિક સિલેક્ટર સાથેનું રૂટ-આધારિત Azure ગેટવે એ ચોક્કસ દસ્તાવેજીકૃત વિકલ્પ છે, ડિફોલ્ટ નહીં. જો તમારી ડિઝાઇન તેના પર આધારિત હોય, તો ડિઝાઇને તે કહેવું પડશે, કારણ કે ડિફોલ્ટ રૂટ-આધારિત સિલેક્ટર મોડેલ Azure બાજુએ અલગ રીતે વર્તે છે.

વર્ઝન મર્યાદાઓ પણ કરારનો ભાગ છે. એન્ક્રિપ્શન ડોમેન પરની મર્યાદા વિશેનો જૂનો ફીલ્ડ રિપોર્ટ ચોક્કસ રિલીઝ વિશેનો ડેટા પોઇન્ટ છે, દરેક ASAની કાયમી લક્ષણ નથી.

એગ્રિગેટ નહીં, પ્રિફિક્સ જોડીઓની યાદી બનાવો

મેટ્રિક્સ લખો. સ્થાનિક A અને B થી Azure X અને Y એ ચાર જોડીઓ છે, અને દરેકને કાં તો કવરેજ કાં તો સ્પષ્ટ બાકાત જોઈએ. A અને Bને એક એગ્રિગેટમાં ભેગા કરવાથી તેમની વચ્ચેનું બધું પણ સમાય છે, અને એમ જ ડિઝાઇનમાં ચૂપચાપ એક છિદ્ર પડે છે.

પીઅરે શું વાટાઘાટ કરી તે તપાસો, તમે શું સાચવ્યું તે નહીં. ASA પરની સ્થાનિક અને દૂરસ્થ નેટવર્કની યાદી ઇરાદો છે; CHILD SA એ પરિણામ છે.

જોડી ખૂટે ત્યારે સુધારો સામાન્ય રીતે access-list લીટી અથવા સિલેક્ટર એન્ટ્રી હોય છે, નવી ટનલ નહીં.

ઑબ્જેક્ટનું નામ લેતા આદેશોથી ચકાસો

ASA પર, પહેલા IKE સત્ર, પછી IPsec SA, પછી સિલેક્ટર જોડીઓની પુષ્ટિ કરો. દરેક આદેશ અલગ પ્રશ્નનો જવાબ આપે છે, અને ફક્ત પહેલો ચલાવવો એ જ રીતે ટનલ ઉપર છે એવું વિધાન ખોટા નિષ્કર્ષમાં ફેરવાય છે. યાદીમાં પહેલો આવતો SA નહીં, તમે ખરેખર કન્ફિગર કરેલા પીઅર માટેનું આઉટપુટ વાંચો. Azure બાજુ એ જ ત્રણ પ્રશ્નોનો પોતાના દૃષ્ટિકોણથી જવાબ આપે છે.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

પછી az network vpn-connection show --name <connection> --query connectionStatus વડે Azureને જોડાણની સ્થિતિ પૂછો. ડેટા પાથમાં શૂન્ય બાઇટ સાથે Connected એ સિલેક્ટર સમસ્યા છે, રૂટિંગ સમસ્યા નહીં.

દરેક જોડી માટે એક માન્ય ફ્લો ચકાસો, બીજી બાજુએ દેખાતું સ્રોત સરનામું તપાસો, અને એવું એક સંસાધન અજમાવો જે નકારવું જોઈએ. એ છેલ્લી કસોટી જ એકમાત્ર છે જે સાબિત કરે છે કે સીમા હજી અસ્તિત્વમાં છે.

એન્ક્રિપ્શન વ્યાપને ઍક્સેસ પરવાનગીથી અલગ રાખો

પહોળું સિલેક્ટર પરવાનગી નથી. જો સમર્થિત લેઆઉટ એપ્લિકેશન પોલિસી કરતાં પહોળું હોય, તો સાંકડી સેવાઓ ફાયરવોલ નિયમોમાં રાખો અને એન્ક્રિપ્શન વ્યાપ જ્યાં હોવો જોઈએ ત્યાં જ રાખો.

Azure વર્કલોડ રૂટ અને સ્થાનિક પરત રૂટ અલગ તપાસવામાં આવે છે. BGP જાહેરાતો, સ્થિર નેટવર્ક વ્યાપ અને વપરાશકર્તા-વ્યાખ્યાયિત રૂટ બધાએ એક જ માર્ગ વર્ણવવો જોઈએ, અને તેમાંથી કોઈ પણ પીઅર ટ્રાન્સપોર્ટને પુનરાવર્તિત રીતે પકડી શકે નહીં.

રોલબેક અને તે કામ કર્યું તેનો પુરાવો

સિલેક્ટર બદલતા પહેલાં અગાઉની ચાલુ કન્ફિગરેશન રાખો, અને તેને પાછું લાવતો એક જ આદેશ જાણો. ASA પર તેનો અર્થ સાચવેલી નકલ અને મેળ ખાતો પુનઃસ્થાપન માર્ગ છે, તમે શું સંપાદિત કર્યું તેની યાદ નહીં. ફેરફાર હજી કાલ્પનિક હોય ત્યારે જ ચેન્જ ટિકિટમાં પુનઃસ્થાપન આદેશ લખો. પછી એ જ ત્રણ તપાસ ફરી ચલાવો: IKE સ્થિતિ, IPsec SA જોડીઓ, દરેક જોડી માટે એક માન્ય ફ્લો.

જો પુનઃસ્થાપન પછી પણ જોડી નિષ્ફળ જાય, તો ફેરફાર કારણ ન હતો, અને તમે હમણાં જ બીજા વિક્ષેપથી બચી ગયા.