Cisco ASA prema Azure VPN: parovi prefiksa prometnih selektora

Tunel se podigne, IKE izgleda zdravo, a ništa kroz njega ne prolazi. To je uobičajen oblik problema sa selektorima ASA prema Azure i zato pišem ugovor prije nego što dotaknem bilo koju od dvije konzole. Ugovor su četiri stvari: objekti koji identificiraju svakog partnera, model veze, točni parovi prefiksa i provjera koja dokazuje svaki par. Pogriješite li to, svaka kasnija naredba otklanja pogreške u konfiguraciji koju niste trebali napraviti. Ovaj runbook je redoslijed koji koristim, zajedno s naredbama koje pokazuju koji je objekt zaista pogrešan.

Zapišite četiri objekta prije konfiguriranja

Počnite s izdanjem i platformom ASA, javnom krajnjom točkom, tipom i SKU-om Azure VPN pristupnika, te lokalnim mrežnim pristupnikom koji predstavlja vašu stranu. Ta četiri imena rječnik su za sve što slijedi, a svako ima drugog vlasnika kada se nešto pokvari.

Ako su dva od njih još nagađanja, zaustavite se. Pogrešan popis prefiksa na lokalnom mrežnom pristupniku nije problem podešavanja.

Odaberite jedan model veze i prestanite miješati predloške

Dizajn s crypto map i dizajn s tunnel interface različite su konfiguracije, a predložak za jedan ne postaje valjan za drugi izmjenom adrese partnera. Zapišite koji gradite prije nego što bilo što zalijepite, jer se nesklad kasnije pojavljuje kao problem sa selektorima, a ne kao konfiguracijska pogreška. Microsoftov vodič za interoperabilnost ASA pokriva oba uzorka i navodi koji model Azure pristupnika svaki pretpostavlja. Ako vaše bilješke ne imenuju model, još nemate dizajn.

Azure pristupnik zasnovan na rutama s prometnim selektorima zasnovanima na pravilima posebna je dokumentirana opcija, a ne zadana. Ako vaš dizajn ovisi o njoj, dizajn to mora reći, jer se zadani model selektora zasnovan na rutama ponaša drugačije na strani Azure.

Ograničenja verzija također pripadaju ugovoru. Staro terensko izvješće o gornjoj granici enkripcijskih domena podatak je o određenim izdanjima, a ne trajno svojstvo svake ASA.

Navedite parove prefiksa, ne agregate

Napišite matricu. Lokalni A i B prema Azure X i Y četiri su para, a svakom treba ili pokrivenost ili izričito izuzeće. Spajanje A i B u jedan agregat uključuje i sve što se nalazi između njih, i tako dizajn tiho dobije rupu.

Provjerite što su partneri dogovorili, a ne što ste spremili. Popis lokalnih i udaljenih mreža na ASA namjera je; CHILD SA su rezultat.

Kada par nedostaje, popravak je obično redak access-list ili unos selektora, a ne novi tunel.

Provjeravajte naredbama koje imenuju objekt

Na ASA potvrdite IKE sesiju, zatim IPsec SA, zatim parove selektora. Svaka naredba odgovara na drugo pitanje, a pokretanje samo prve način je na koji tvrdnja da je tunel podignut postaje pogrešan zaključak. Čitajte izlaz za partnera kojeg ste zaista konfigurirali, a ne za onaj SA koji se slučajno nađe prvi na popisu. Strana Azure odgovara na ista tri pitanja iz svog kuta.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Zatim pitajte Azure za stanje veze pomoću az network vpn-connection show --name <connection> --query connectionStatus. Connected s nula bajtova u podatkovnom putu problem je selektora, a ne problem usmjeravanja.

Testirajte jedan dopušteni tok po paru, pregledajte izvornu adresu viđenu na drugoj strani i isprobajte jedan resurs koji bi trebao biti odbijen. Taj posljednji test jedini dokazuje da granica još postoji.

Držite opseg enkripcije odvojeno od dopuštenja pristupa

Širok selektor nije dopuštenje. Ako je podržani raspored širi od politike aplikacije, zadržite uske servise u pravilima vatrozida i ostavite opseg enkripcije tamo gdje mora biti.

Rute radnih opterećenja Azure i povratne rute lokalne mreže pregledavaju se odvojeno. BGP objave, statički opseg mreže i korisnički definirane rute moraju svi opisivati isti put, i nijedna od njih ne smije rekurzivno zahvatiti prijenos partnera.

Vraćanje i dokaz da je uspjelo

Spremite prethodnu radnu konfiguraciju prije promjene selektora i znajte jednu naredbu koja je vraća. Na ASA to znači spremljenu kopiju i odgovarajući put oporavka, a ne sjećanje na ono što ste izmijenili. Upišite naredbu za oporavak u tiket promjene dok je promjena još hipotetska. Zatim ponovno pokrenite iste tri provjere: stanje IKE, parovi IPsec SA, jedan dopušteni tok po paru.

Ako par i dalje ne radi nakon vraćanja, promjena nije bila uzrok i upravo ste si uštedjeli drugi prekid.