Cisco ASA zuwa Azure VPN: nau'o'in prefix na masu zaɓin zirga-zirga

Tunnel ɗin yana tashi, IKE yana da lafiya, kuma babu abin da ke wucewa ta cikinsa. Wannan shi ne sifar da aka saba na matsalar mai zaɓi ta ASA zuwa Azure, kuma shi ya sa nake rubuta kwangilar kafin in taɓa ɗaya daga cikin konsolin biyu. Kwangilar abubuwa huɗu ne: abubuwan da ke gane kowane abokin haɗi, tsarin haɗi, ainihin nau'o'in prefix, da tabbacin da ke tabbatar da kowane nau'i. Idan waɗannan suka yi kuskure, kowane umarni na gaba yana gyara tsarin da bai kamata ka gina ba. Wannan runbook shi ne tsarin da nake amfani da shi, tare da umarnin da ke nuna wane abu ne ainihin kuskure.

Rubuta abubuwa huɗu kafin ka yi tsari

Fara da fitarwar ASA da dandalinsa, ƙarshen wurin jama'a, nau'in Azure VPN gateway da SKU, da kuma hanyar sadarwar gida da ke wakiltar gefenka. Waɗannan sunaye huɗu su ne ƙamus na duk abin da ke biyo baya, kuma kowanne yana da mai shi daban idan wani abu ya lalace.

Idan biyu daga cikinsu har yanzu hasashe ne, tsaya. Jerin prefix mara kyau a hanyar sadarwar gida ba matsalar daidaitawa ba ce.

Zaɓi tsarin haɗi ɗaya ka daina haɗa samfuri

Tsarin crypto map da tsarin tunnel interface tsari ne daban-daban, kuma samfurin ɗaya ba ya zama mai aiki ga ɗayan ta hanyar gyara adireshin abokin haɗi. Rubuta wanda kake ginawa kafin ka liƙa wani abu, domin rashin daidaituwa yana bayyana daga baya a matsayin matsalar mai zaɓi ba a matsayin kuskuren tsari ba. Jagorar haɗin gwiwar ASA ta Microsoft ta ƙunshi duka sifofin biyu kuma ta bayyana wane tsarin Azure gateway kowanne yake ɗauka. Idan bayananka ba su ambaci tsarin ba, har yanzu ba ka da wani tsari.

Azure gateway da ya dogara da hanyoyi tare da masu zaɓin zirga-zirga da suka dogara da manufa wani zaɓi ne da aka rubuta musamman, ba tsoho ba. Idan tsarinka ya dogara da shi, tsarin dole ya faɗi haka, domin tsarin mai zaɓi na tsoho da ya dogara da hanyoyi yana aiki daban a gefen Azure.

Iyakokin sigar ma na cikin kwangilar. Tsohon rahoton fili game da iyaka a yankunan ɓoye bayanai bayani ne game da wasu fitarwa, ba dabi'ar dindindin ta kowace ASA ba.

Lissafa nau'o'in prefix, ba tarawa ba

Rubuta matrix ɗin. A da B na gida zuwa X da Y na Azure nau'i huɗu ne, kuma kowanne yana buƙatar ko dai rufi ko keɓancewar bayyananne. Haɗa A da B a cikin tarawa ɗaya ya haɗa da duk abin da ke tsakaninsu, kuma haka tsari ke samun rami a cikin shiru.

Duba abin da abokan haɗi suka tattauna, ba abin da ka adana ba. Jerin cibiyoyin sadarwa na gida da na nesa a ASA nufi ne; CHILD SA su ne sakamako.

Idan nau'i ya ɓace, gyaran yawanci layin access-list ne ko shigarwar mai zaɓi, ba sabon tunnel ba.

Tabbatar da umarnin da ke ambaton abin

A ASA, tabbatar da zaman IKE, sannan IPsec SA, sannan nau'o'in masu zaɓi. Kowane umarni yana amsa tambaya daban, kuma gudanar da na farko kawai shi ne hanyar da maganar cewa tunnel ɗin yana sama ta zama ƙarshe mara gaskiya. Karanta fitarwar abokin haɗin da ka yi tsari da shi da gaske, ba na wani SA da ya kasance na farko a jerin ba. Gefen Azure yana amsa tambayoyi uku ɗin daga ra'ayinsa.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Sannan ka tambayi Azure yanayin haɗin da az network vpn-connection show --name <connection> --query connectionStatus. Connected da sifili bytes a hanyar bayanai matsalar mai zaɓi ce, ba matsalar turawa ba.

Gwada kwarara ɗaya da aka yarda da ita ga kowane nau'i, duba adireshin tushen da ake gani a wancan gefe, kuma gwada wata hanya ɗaya da ya kamata a ƙi. Wannan gwajin na ƙarshe shi ne kaɗai ke tabbatar da cewa iyakar tana nan har yanzu.

Ka raba iyakar ɓoye bayanai da izinin shiga

Mai zaɓi mai faɗi ba izini ba ne. Idan tsarin da ake tallafawa ya fi na manufar aikace-aikacen faɗi, ka ajiye ƙananan ayyuka a cikin dokokin firewall kuma ka bar iyakar ɓoye bayanai a inda ya kamata.

Hanyoyin aikin Azure da hanyoyin dawowa na gida ana duba su daban. Sanarwar BGP, iyakar cibiyar sadarwa ta tsaye da hanyoyin da mai amfani ya ayyana duk dole su bayyana hanya ɗaya, kuma babu ɗayansu da zai iya kama jigilar abokin haɗi a maimaita.

Dawo da baya da tabbacin cewa ya yi aiki

Ajiye tsarin da yake aiki na baya kafin ka canza masu zaɓi, kuma ka san umarni ɗaya da ke mayar da shi. A ASA wannan yana nufin kwafin da aka adana da hanyar dawo da ita, ba tunanin abin da ka gyara ba. Rubuta umarnin dawo da shi a cikin tikitin canji yayin da canjin har yanzu hasashe ne. Sannan sake gudanar da bincike uku ɗin: yanayin IKE, nau'o'in IPsec SA, kwarara ɗaya da aka yarda da ita ga kowane nau'i.

Idan nau'i har yanzu ya kasa bayan dawo da shi, canjin ba shi ne sanadi ba, kuma ka riga ka ceci kanka daga katsewa ta biyu.