Cisco ASA टनल्ड डिफ़ॉल्ट रूट: यह वास्तव में कब लागू होता है

रिमोट-एक्सेस उपयोगकर्ता ASA के पार कुछ भी नहीं पहुँचा पाता, जबकि वही सर्वर अंदर के LAN से पिंग का जवाब देता है। टनल बन जाता है, क्लाइंट को पूल से एक पता मिल जाता है, और पैकेट फिर भी इंटरनेट डिफ़ॉल्ट से बाहर चला जाता है या गायब हो जाता है। यह पैटर्न आमतौर पर बताता है कि डिक्रिप्ट किए गए ट्रैफ़िक को अपना कोई रूट नहीं मिला और वह साधारण डिफ़ॉल्ट पर गिर गया। समाधान कोई दूसरा NAT नियम नहीं है; समाधान टनल्ड डिफ़ॉल्ट है।

शुरुआत लक्षण से करें, कॉन्फ़िग से नहीं

यह देखें कि पैकेट कहाँ जा रहा है, यह नहीं कि आपको उम्मीद थी वह कहाँ जाएगा। किसी विफल सत्र के दौरान बाहरी इंटरफ़ेस पर किया गया कैप्चर दिखाता है कि डिक्रिप्ट किया गया पैकेट ISP गेटवे की ओर जा रहा है और पूल का पता अभी भी ज्यों-का-त्यों है, या कुछ भी नहीं दिखाता क्योंकि लुकअप विफल हो गया। दोनों ही स्थितियों में टनल समस्या नहीं है।

show vpn-sessiondb में टनल स्वस्थ दिखता है, और ठीक इसी कारण लोग IKE को डीबग करते रहते हैं।

ACL ड्रॉप से इसे दिशा अलग करती है। ACL ड्रॉप लॉग होता है और गिना जाता है, जबकि गायब रूट लुकअप विफलता पैदा करता है जिसमें कोई मेल खाती एंट्री नहीं होती। क्लाइंट के गंतव्य के लिए show route चलाएँ और पढ़ें कि ASA ने वास्तव में क्या चुना, यह भी कि कोई डिफ़ॉल्ट चुना गया या नहीं और कौन-सा।

टनल्ड लुकअप अलग कैसे है

Cisco के ASA 9.23 स्टैटिक-रूटिंग गाइड में ऐसे डिक्रिप्ट किए गए VPN ट्रैफ़िक के लिए अलग डिफ़ॉल्ट का वर्णन है जिसका कोई स्टैटिक या सीखा हुआ रूट नहीं है। tunneled कीवर्ड उस रूट को चिह्नित करता है, इसलिए डिक्रिप्ट किया गया पैकेट उस अगले हॉप की ओर भी गिर सकता है जो ASA अपने स्वयं के ट्रांसपोर्ट के लिए उपयोग करता है, से भिन्न है। अधिक विशिष्ट रूट फिर भी जीतते हैं, इसी कारण एक क्लाइंट आंतरिक गेटवे से 10.0.0.0/8 तक पहुँच सकता है और बाकी सब खो देता है।

एक न्यूनतम लेआउट अलग-अलग अगले हॉप वाले दो डिफ़ॉल्ट रखता है। एक ASA का अपना ट्रैफ़िक ले जाता है, दूसरा ऐसा डिक्रिप्ट किया गया ट्रैफ़िक जिसका कोई बेहतर रूट नहीं है। दोनों अगले हॉप अब भी उस इंटरफ़ेस से पहुँचने योग्य होने चाहिए जिससे आप उन्हें जोड़ते हैं।

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

अगर दोनों डिफ़ॉल्ट एक ही अगले हॉप की ओर इशारा करते हैं, तो कीवर्ड कुछ नहीं बदलता और लक्षण टलेगा नहीं।

वे प्रतिबंध जो तय करते हैं कि यह काम करेगा या नहीं

वही गाइड केवल एक टनल्ड डिफ़ॉल्ट की अनुमति देता है और कहता है कि इसके लिए ECMP समर्थित नहीं है, इसलिए आप उस पथ पर लोड-शेयर नहीं कर सकते। इसमें रूट ट्रैकिंग, रिवर्स-पाथ वेरिफ़िकेशन तथा कुछ इंस्पेक्शन और प्रबंधन फ़्लो से जुड़े प्रतिबंध भी सूचीबद्ध हैं। फ़ीचर के इर्द-गिर्द डिज़ाइन करने से पहले इन्हें अपनी इंस्टॉल की गई रिलीज़ के सामने पढ़ें। इन्हें अनदेखा करने वाला डिज़ाइन आमतौर पर हर जगह नहीं, बल्कि एक खास जगह पर विफल होता है, इसी कारण लक्षण रुक-रुक कर होता दिखता है।

असममित डिज़ाइनों में रिवर्स-पाथ वेरिफ़िकेशन ही सबसे ज़्यादा काटता है। अगर उत्तर उस इंटरफ़ेस से आएगा जो ASA अपेक्षा करता है, से भिन्न है, तो पैकेट रूटिंग का महत्व आने से पहले ही गिरा दिया जाता है। वेरिफ़िकेशन बंद करके अगला हॉप थोपने के बजाय टोपोलॉजी या रिटर्न पाथ ठीक करें।

रूट ट्रैकिंग अलग जाल है: ट्रैक की गई ऑब्जेक्ट आमतौर पर साधारण डिफ़ॉल्ट की रक्षा करती है, टनल्ड की नहीं।

कीवर्ड क्या नहीं करता

यह वह स्रोत पता नहीं चुनता जिससे ASA IKE बनाता है। बाहरी टनल एंडपॉइंट प्लेटफ़ॉर्म के अपने इंटरफ़ेस और स्रोत चयन का पालन करता है, और टनल्ड डिफ़ॉल्ट का उस निर्णय में कोई हिस्सा नहीं है। इसे बदलने से गलत पते से स्रोत लेने वाला phase 1 ठीक नहीं होगा।

यह अगले हॉप को प्रॉक्सी भी नहीं बनाता। अगर गंतव्य HTTP CONNECT का आदान-प्रदान चाहता है, तो प्रॉक्सी होस्ट को कच्चे IP पैकेट भेजने से आपको केवल ऐसा होस्ट मिलता है जो उन्हें रूट नहीं कर रहा। इसके बजाय क्लाइंट का समर्थित प्रॉक्सी तंत्र कॉन्फ़िगर करें।

और यह डाउनस्ट्रीम फ़ॉरवर्डिंग नहीं बनाता। जिस गेटवे की ओर आप इशारा करते हैं उसे अब भी VPN पूल तक वापसी रूट चाहिए, साथ में स्रोत अनुवाद जहाँ डिज़ाइन की माँग हो।

पथ को शुरू से अंत तक जाँचें

रूट लगने के बाद क्रम से चार चीज़ें जाँचें: पूल को जिस गंतव्य की ज़रूरत है उसके लिए show route, नए अगले हॉप की ओर वाले इंटरफ़ेस पर कैप्चर, गेटवे पर ही कैप्चर, और उस गेटवे से पूल के पते तक वापसी पथ। पहले दो साबित करते हैं कि ASA ने पथ चुना, और अंतिम दो साबित करते हैं कि वहाँ कोई जवाब देता है।

अगर गेटवे जवाब देता है पर क्लाइंट को कभी उत्तर नहीं दिखता, तो रूट टेबल फिर छूने से पहले स्रोत अनुवाद और उत्तर के रूट को देखें।

जिस रिलीज़ पर आपने जाँच की उसे दर्ज करें, क्योंकि प्रतिबंधों की सूची संस्करण-विशिष्ट है और जो डिज़ाइन एक ट्रेन पर काम करता है उसे दूसरी ट्रेन पर अलग पथ की ज़रूरत पड़ सकती है। वह नोट कॉन्फ़िग स्निपेट से ज़्यादा टिकता है।