Titin da aka sanya a cikin tunnel na Cisco ASA: yaushe yake aiki da gaske

Mai amfani da haɗin nesa ba ya isa kome bayan ASA yayin da sũrũn ɗaya ke amsa ping daga LAN na ciki. Tunnel ɗin yana tashi, abokin ciniki yana samun adireshi daga fakin, kuma fakitin har yanzu yana fita ta hanyar intanet ta dindindin ko ya ɓace. Irin wannan yanayin yawanci yana nufin cewa zirga-zirgar da aka buɗe ba ta sami hanyarta ba kuma ta faɗi zuwa hanyar dindindin ta yau da kullum. Gyaran ba wani ƙa'idar NAT ba ne; ita ce hanyar dindindin da aka sanya a cikin tunnel.

Fara da alamar cutar, ba da tsarin ba

Duba inda fakitin yake zuwa maimakon inda kuke tsammanin zai je. Ɗaukar hoto a kan fuskar waje yayin zaman da ya kasa yana nuna fakitin da aka buɗe yana kan hanyar zuwa ƙofar ISP tare da adireshin fakin ɗin har yanzu a fili, ko kuma ba ya nuna kome saboda binciken ya kasa. A kowane hali tunnel ɗin ba shine matsalar ba.

Tunnel ɗin yana da lafiya a show vpn-sessiondb, kuma wannan shine ainihin dalilin da yasa mutane ke ci gaba da gyara IKE.

Abin da ya bambanta wannan da faɗuwar ACL shine alkibla. Faɗuwar ACL ana rubuta ta kuma ana kirga ta, yayin da hanyar da ta ɓace tana haifar da gazawar bincike ba tare da wani shigarwa da ya dace ba. Gudanar da show route don makomar abokin ciniki kuma karanta abin da ASA ta zaɓa da gaske, ciki har da ko an zaɓi hanyar dindindin kuma wacece.

Yadda binciken tunnel ɗin ya bambanta

Jagorar Cisco na ASA 9.23 game da tuƙin hanya mai tsayawa tana bayyana wata hanya ta dindindin daban don zirga-zirgar VPN da aka buɗe wadda ba ta da hanya mai tsayawa ko wadda aka koya. Kalmar tunneled tana alama wannan hanya, don haka fakitin da aka buɗe zai iya faɗuwa zuwa wani tsalle na gaba daban da wanda ASA ke amfani da shi don jigilarsa. Ƙarin takamaiman hanyoyi har yanzu suna cin nasara, wanda shine dalilin da yasa abokin ciniki zai iya isa 10.0.0.0/8 ta ƙofar ciki kuma ya rasa komai.

Tsarin da ya fi ƙanƙanta yana riƙe da hanyoyi biyu na dindindin tare da tsalle-tsalle na gaba daban-daban. Ɗaya yana ɗaukar zirga-zirgar ASA kanta, ɗayan kuma yana ɗaukar zirga-zirgar da aka buɗe wadda ba ta da hanya mafi kyau. Duk tsalle-tsallen gaba biyu har yanzu dole ne a same su daga fuskar da kuka haɗa su da ita.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Idan duka hanyoyin dindindin biyu suna nuni zuwa tsalle ɗaya na gaba, kalmar ba ta canza kome kuma alamar ba za ta motsa ba.

Sharuɗɗan da ke tabbatar da ko zai yi aiki

Wannan jagorar ɗaya tana ba da izini ga hanya ɗaya tak ta dindindin da aka sanya a cikin tunnel kuma ta bayyana cewa ba a tallafa wa ECMP don ita, don haka ba za ku iya raba nauyin wannan hanya ba. Har ila yau tana lissafa sharuɗɗa da suka shafi bin hanyoyi, tabbatar da hanyar dawowa, da wasu kwararar dubawa da gudanarwa. Karanta su a kan sigar da ka shigar kafin ka tsara a kewayen fasalin. Tsarin da ya yi watsi da su yawanci yana kasa a wani takamaiman wuri maimakon ko'ina, wanda shine dalilin da yasa alamar take kama da ta lokaci-lokaci.

Tabbatar da hanyar dawowa ita ce ke ciji a cikin tsare-tsare marasa daidaituwa. Idan amsar za ta zo ta wata fuska daban da wadda ASA ke tsammani, ana jefar da fakitin kafin tuƙin hanya ya zama da muhimmanci. Gyara yanayin ko hanyar dawowa maimakon kashe tabbatarwa don tilasta tsalle na gaba.

Bin hanyoyi wani tarko ne daban: abin da ake binsa yawanci yana kare hanyar dindindin ta yau da kullum, ba wadda aka sanya a cikin tunnel ba.

Abin da kalmar ba ta yi

Ba ta zaɓar adireshin tushe da ASA ke amfani da shi wajen gina IKE ba. Ƙarshen tunnel na waje yana bin zaɓin fuska da tushe na dandali, kuma hanyar dindindin da aka sanya a cikin tunnel ba ta da wani rabo a wannan shawarar. Canza ta ba zai gyara phase 1 da ke fitowa daga kuskuren adireshi ba.

Haka kuma ba ta mayar da tsalle na gaba ya zama wakili ba. Idan makomar tana jiran musayar HTTP CONNECT, aika fakitin IP marasa sarrafawa zuwa mai masaukin wakili yana ba ku kawai mai masauki wanda ba ya tuƙa su. Sanya injin wakili da abokin ciniki ke tallafawa a maimakon haka.

Kuma ba ta haifar da tura ƙasa ba. Ƙofar da kuke nuni zuwa gare ta har yanzu tana buƙatar hanya ta komawa fakin VPN, ƙari da fassarar tushe a inda tsarin ya buƙata.

Tabbatar da hanya daga ƙarshe zuwa ƙarshe

Bayan hanyar ta kasance a wurinta, duba abubuwa huɗu a jere: show route don makomar da fakin ke buƙata, ɗaukar hoto a fuskar da ke fuskantar sabuwar tsalle ta gaba, ɗaukar hoto a kan ƙofar kanta, da hanyar dawowa daga waccan ƙofar zuwa adireshin fakin. Biyun farko suna tabbatar da cewa ASA ta zaɓi hanyar, kuma biyun ƙarshe suna tabbatar da cewa wani yana amsa a kanta.

Idan ƙofar tana amsawa amma abokin ciniki ba ya ganin amsa, duba fassarar tushe da hanyar amsa kafin ka sake taɓa teburin tuƙin hanya.

Rubuta sigar da ka tabbatar da ita, domin lissafin sharuɗɗa ya danganta da sigar kuma tsarin da ke aiki a wani reshe na iya buƙatar wata hanya a wani. Wannan bayanin yana rayuwa fiye da guntun tsari.