Cisco ASA ટનલ્ડ ડિફૉલ્ટ રૂટ: તે ખરેખર ક્યારે લાગુ પડે છે

રિમોટ-ઍક્સેસ વપરાશકર્તા ASAની પાર કંઈ પણ સુધી પહોંચી શકતો નથી, જ્યારે એ જ સર્વર આંતરિક LANમાંથી pingનો જવાબ આપે છે. ટનલ ઊભી થાય છે, ક્લાયન્ટને પૂલમાંથી સરનામું મળે છે, અને પૅકેટ તો પણ ઇન્ટરનેટ ડિફૉલ્ટ દ્વારા નીકળી જાય છે અથવા અદૃશ્ય થઈ જાય છે. આ પૅટર્ન સામાન્ય રીતે એમ કહે છે કે ડિક્રિપ્ટ થયેલા ટ્રાફિકને પોતાનો રૂટ મળ્યો નહીં અને તે સામાન્ય ડિફૉલ્ટ પર પડી ગયું. સુધારો બીજો NAT નિયમ નથી; તે ટનલ્ડ ડિફૉલ્ટ છે.

કોન્ફિગથી નહીં, લક્ષણથી શરૂ કરો

તમે ધાર્યું હતું તેના બદલે પૅકેટ ક્યાં જાય છે તે જુઓ. નિષ્ફળ સેશન દરમિયાન બહારના ઇન્ટરફેસ પરનું કૅપ્ચર બતાવે છે કે ડિક્રિપ્ટ થયેલું પૅકેટ પૂલનું સરનામું હજી અકબંધ રહ્યું હોવા છતાં ISP ગેટવે તરફ જાય છે, અથવા કંઈ જ બતાવતું નથી કારણ કે શોધ નિષ્ફળ ગઈ. બંને સ્થિતિમાં ટનલ સમસ્યા નથી.

show vpn-sessiondbમાં ટનલ સ્વસ્થ દેખાય છે, અને એટલે જ લોકો IKE ડિબગ કરવાનું ચાલુ રાખે છે.

ACL ડ્રૉપથી આને અલગ પાડે છે દિશા. ACL ડ્રૉપ લૉગ થાય છે અને ગણાય છે, જ્યારે ખૂટતો રૂટ કોઈ મેળ ખાતી એન્ટ્રી વિના શોધ નિષ્ફળતા ઉત્પન્ન કરે છે. ક્લાયન્ટના લક્ષઍ માટે show route ચલાવો અને વાંચો કે ASAએ ખરેખર શું પસંદ કર્યું, જેમાં ડિફૉલ્ટ પસંદ થયો કે નહીં અને કયો એનો સમાવેશ થાય છે.

ટનલ્ડ શોધ કેવી રીતે અલગ પડે છે

Ciscoની ASA 9.23 સ્ટૅટિક રૂટિંગ માર્ગદર્શિકા ડિક્રિપ્ટ થયેલા VPN ટ્રાફિક માટે અલગ ડિફૉલ્ટનું દસ્તાવેજીકરણ કરે છે જેની પાસે કોઈ સ્ટૅટિક કે શીખેલો રૂટ નથી. tunneled કીવર્ડ તે રૂટને ચિહ્નિત કરે છે, તેથી ડિક્રિપ્ટ થયેલું પૅકેટ ASA પોતાના પરિવહન માટે વાપરે છે તેના કરતાં અલગ આગળના હોપ પર પડી શકે છે. વધુ ચોક્કસ રૂટ હજી પણ જીતે છે, અને એટલે જ ક્લાયન્ટ આંતરિક ગેટવે દ્વારા 10.0.0.0/8 સુધી પહોંચી શકે છે અને બાકીનું બધું ગુમાવી શકે છે.

ન્યૂનતમ ગોઠવણી અલગ આગળના હોપ સાથે બે ડિફૉલ્ટ રાખે છે. એક ASAનો પોતાનો ટ્રાફિક વહન કરે છે, અને બીજો એ ડિક્રિપ્ટ થયેલો ટ્રાફિક વહન કરે છે જેની પાસે સારો રૂટ નથી. બંને આગળના હોપ હજી પણ તમે તેમને જોડો છો તે ઇન્ટરફેસથી પહોંચી શકાય તેવા હોવા જોઈએ.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

જો બંને ડિફૉલ્ટ એક જ આગળના હોપ તરફ ઈશારો કરે, તો કીવર્ડ કંઈ બદલતો નથી અને લક્ષણ ખસશે નહીં.

કયા પ્રતિબંધો નક્કી કરે છે કે તે કામ કરશે કે નહીં

એ જ માર્ગદર્શિકા ફક્ત એક ટનલ્ડ ડિફૉલ્ટની મંજૂરી આપે છે અને જણાવે છે કે તેના માટે ECMP સમર્થિત નથી, તેથી તમે તે માર્ગ પર લોડ-શેર કરી શકતા નથી. તે રૂટ ટ્રૅકિંગ, રિવર્સ-પાથ ચેકિંગ અને કેટલાક નિરીક્ષણ તથા સંચાલન ફ્લો સંબંધિત પ્રતિબંધો પણ સૂચવે છે. સુવિધા આસપાસ ડિઝાઇન કરતાં પહેલાં તેમને તમારી સ્થાપિત આવૃત્તિ સામે વાંચો. તેમને અવગણતી ડિઝાઇન સામાન્ય રીતે એક ચોક્કસ જગ્યાએ નિષ્ફળ થાય છે, બધે જગ્યાએ નહીં, અને એટલે લક્ષણ વચ્ચે-વચ્ચે દેખાય છે.

રિવર્સ-પાથ ચેકિંગ એ છે જે અસમમિત ડિઝાઇનમાં ડંખે છે. જો જવાબ ASA ધારે છે તેના કરતાં અલગ ઇન્ટરફેસ દ્વારા આવે, તો રૂટિંગનું મહત્ત્વ થાય તે પહેલાં પૅકેટ કાઢી નાખવામાં આવે છે. આગળનો હોપ ફોર્સ કરવા ચેકિંગ બંધ કરવાને બદલે ટોપોલોજી કે રિટર્ન પાથ સુધારો.

રૂટ ટ્રૅકિંગ અલગ જાળ છે: ટ્રૅક કરેલી વસ્તુ સામાન્ય રીતે સામાન્ય ડિફૉલ્ટનું રક્ષણ કરે છે, ટનલ્ડનું નહીં.

કીવર્ડ શું કરતો નથી

તે એ સ્રોત સરનામું પસંદ કરતો નથી જે ASA IKE બનાવવા માટે વાપરે છે. ટનલનો બહારનો અંત પ્લૅટફૉર્મની પોતાની ઇન્ટરફેસ અને સ્રોત પસંદગીને અનુસરે છે, અને તે નિર્ણયમાં ટનલ્ડ ડિફૉલ્ટનો કોઈ ભાગ નથી. તેને બદલવાથી ખોટા સરનામાંથી આવતો phase 1 સુધરશે નહીં.

તે આગળના હોપને પ્રૉક્સી પણ બનાવતો નથી. જો લક્ષઍ HTTP CONNECT વિનિમયની અપેક્ષા રાખે, તો પ્રૉક્સી હોસ્ટ પર કચ્ચા IP પૅકેટ મોકલવાથી તમને ફક્ત એવો હોસ્ટ મળે છે જે તેમને રૂટ કરતો નથી. તેના બદલે ક્લાયન્ટ દ્વારા સમર્થિત પ્રૉક્સી મેકેનિઝસ્મ ગોઠવો.

અને તે નીચેની તરફ ફૉર્વર્ડિંગ બનાવતો નથી. તમે જે ગેટવે તરફ ઈશારો કરો છો તેને હજી પણ VPN પૂલ તરફ પાછા રૂટની જરૂર છે, ઉપરાંત જ્યાં ડિઝાઇન માંગે ત્યાં સ્રોત અનુવાદની પણ જરૂર છે.

માર્ગને શરૂઆતથી અંત સુધી ચકાસો

રૂટ જગ્યાએ આવ્યા પછી, ક્રમમાં ચાર વસ્તુઓ તપાસો: પૂલને જરૂરી હોય તેવા લક્ષઍ માટે show route, નવા આગળના હોપ તરફના ઇન્ટરફેસ પર કૅપ્ચર, ગેટવે પર જ કૅપ્ચર, અને તે ગેટવેથી પૂલના સરનામા સુધીનો રિટર્ન પાથ. પ્રથમ બે સાબિત કરે છે કે ASAએ માર્ગ પસંદ કર્યો, અને છેલ્લા બે સાબિત કરે છે કે તેના પર કોઈ જવાબ આપે છે.

જો ગેટવે જવાબ આપે પણ ક્લાયન્ટને ક્યારેય જવાબ દેખાયતો નથી, તો રૂટિંગ ટેબલને ફરી સ્પર્શ કરવાને પહેલાં સ્રોત અનુવાદ અને જવાબના રૂટ તરફ જુઓ.

તમે જે આવૃત્તિ પર ચકાસણી કરી તે નોંધો, કારણ કે પ્રતિબંધોની યાદી આવૃત્તિ-વિશિષ્ટ છે અને એક શાખા પર કામ કરતી ડિઝાઇનને બીજી પર અલગ માર્ગની જરૂર પડી શકે છે. તે નોંધ કોન્ફિગ સ્નિપેટ કરતાં વધુ ટકે છે.