איך למדל זרימת VPN עם ASA packet-tracer

packet-tracer על ASA עונה על שאלה צרה: האם החבילה הזו, שנכנסת כאן עם הטופל הזה, תורשה, ולאן היא תלך. הוא אינו עונה אם הקצה המרוחק מקבל משהו. הטעות הנפוצה היא להזין טופל IKE חיצוני כשהדבר שברצונכם לבדוק הוא היישום שנוסע בתוך המנהרה. תקנו קודם את הטופל, קראו את השלבים, ואז השיגו ראיות אמיתיות לכל מה שהמדמה אינו יכול לראות.

הסיור שלהלן מניח שה-ACL, כלל ה-NAT והקשר tunnel-group נמצאים לפניכם. בלעדיהם הפלט מתאר מדיניות שלא תוכלו לבדוק.

שלב 1: כתבו את הזרימה הפנימית במילים פשוטות

תארו את היישום לפני שאתם מקלידים משהו. מארח בפנים שפותח SSH לשרת מאחורי השער המרוחק הוא זרימת TCP פנימית אחת עם פורט מקור מסוים. זו הזרימה שה-ACL ומסנן ה-VPN מעריכים, ולכן זו הזרימה שאתם מקלידים.

כתבו אותה כמשפט, ואז תרגמו אותה שדה אחר שדה:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

שלב 2: בחרו את ממשק הכניסה ואת הכיוון

כניסה היא הממשק שאליו החבילה מגיעה, לא זה שממנו היא יוצאת. עבור מארח LAN שיוזם, זהו ממשק ה-inside. עבור חבילת החזרה של אותה הפעלה, זהו ממשק ה-outside, והטופל מתהפך. כתיבת היעד בתור המקור היא הדרך השנייה הנפוצה ביותר לקבל ALLOW משכנע אך לא רלוונטי.

גם לפורטים יש כיוון. פורט השירות שייך לשדה היעד בבקשה מיוזמת, והפורט האפמרי של הלקוח שייך לשדה המקור. מודל עם יעד TCP 500 מתאר יישום TCP שמאזין ב-500; הוא לא הופך לבדיקת IKE רק מפני שהמספר מופיע בפקודה.

שלב 3: קראו את השלבים לפי הסדר

כל שלב בפלט הוא החלטה עם בעלים: חיפוש מסלול, ACL, NAT, ואז בחירת VPN או מנהרה. קראו אותם לפי הסדר המודפס ועצרו בשלב הראשון שאינו תואם לתכנון.

NAT תופס אנשים. אם המקור המתורגם נופל מחוץ ל-crypto ACL שבוחר תעבורה למנהרה, הזרימה יכולה להיות מורשית ומעולם לא נעטפת. העקבה מדפיסה את הכתובת המתורגמת, לכן השוו אותה לתעבורה המעניינת של המנהרה ולא לכתובת המקורית.

שלב 4: בדקו אילו עקיפות בחרתם

הצורה detailed מקבלת אפשרויות שמדלגות על בדיקות, ו-Cisco מתעד אפשרות bypass-checks שמכסה ACL, מסנן VPN, uRPF ובדיקות זיוף IPsec. ALLOW שמתקבל איתן מדלגות אומר שהמסלול וה-NAT יעבדו, לא שהמדיניות תקבל חבילה אמיתית. רשמו את האפשרויות לצד התוצאה.

אם דרושה לכם תשובת המדיניות, הריצו בלי העקיפות. אם אתם מבודדים שאלת ניתוב, הריצו איתן וסמנו את התוצאה כתשובת ניתוב.

שלב 5: סגרו את הפער עם ההחלפה האמיתית

היתר מדומה נעצר ב-ASA. אם השער המרוחק פענח את החבילה, אם השרת קיבל את החיבור ואם חזרה תשובה הם תצפיות נפרדות. השתמשו במוני קצה או בלכידה צרה במסלול מאושר.

חלק מאפשרויות ה-trace וה-replay משדרות חבילות או משמרות מצב. פעלו לפי ההתנהגות המתועדת של הגרסה שלכם ושל נוהל האבחון המאושר שלכם במקום להתייחס לכל וריאנט כאל חיפוש לקריאה בלבד.

מה העקבה עדיין לא יכולה לספר לכם

שמרו ארבעה דברים בהערה אחת: הטופל, כלל ה-NAT המתאים, המנהרה או המדיניות שאמורה לשאת את הזרימה, והתצפית הספציפית לכיוון. בלעדיהם מהנדס מאוחר יותר לא יוכל להפריד החלטת מדיניות מקומית ממישור בקרה מבוסס ומשירות עובד. כשל ראשון שאחריו הצלחה גם אינו הוכחה שהמנהרה הייתה חייבת לעלות בינתיים; רשמו את השלב ואת שינוי המצב.

התחילו בטופל הפנימי, עצרו בשלב הראשון שסותר את התכנון, ורק אז פנו לראיות קצה. העקבה היא אורקל מדיניות, לא אישור מסירה.