VPN-folyamat modellezése ASA packet-tracerrel

A packet-tracer egy ASA-n szűk kérdésre válaszol: engedélyezett lenne-e ez a csomag, amely itt ezzel a tuple-lel belép, és hová menne. Arra nem válaszol, hogy a távoli vég kap-e valamit. A szokásos hiba külső IKE-tuple-t beadni, amikor a tesztelni kívánt dolog az alkalmazás, amely az alagútban utazik. Először javítsa a tuple-t, olvassa el a fázisokat, majd szerezzen valódi bizonyítékot mindarra, amit a szimulátor nem lát.

Az alábbi végigvezetés feltételezi, hogy az ACL, a NAT-szabály és a tunnel-group kontextus Ön előtt van. Ezek nélkül a kimenet olyan szabályzatot ír le, amelyet nem tud ellenőrizni.

1. lépés: írja le a belső folyamatot egyszerű szavakkal

Írja le az alkalmazást, mielőtt bármit begépelne. Egy belső hoszt, amely SSH-t nyit a távoli átjáró mögötti kiszolgáló felé, egyetlen belső TCP-folyamat meghatározott forrásporttal. Ez az a folyamat, amelyet az ACL és a VPN-szűrő értékel, tehát ezt a folyamatot gépeli be.

Írja le egy mondatként, majd fordítsa le mezőnként:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

2. lépés: válassza ki a belépési interfészt és az irányt

A belépés az az interfész, amelyre a csomag érkezik, nem az, amelyen elhagyja. Egy kapcsolatot indító LAN-hosztnál ez az inside interfész. Ugyanazon munkamenet visszatérő csomagjánál ez az outside interfész, és a tuple megfordul. A cél forrásként való beírása a második leggyakoribb módja annak, hogy meggyőző, de irreleváns ALLOW-t kapjunk.

A portok is irányfüggők. A szolgáltatás portja az indított kérés célmezőjébe tartozik, az ügyfél efemer portja pedig a forrásmezőbe. Egy TCP-cél 500-zal leírt modell egy 500-on figyelő TCP-alkalmazást ír le; nem válik IKE-tesztté attól, hogy a szám megjelenik a parancsban.

3. lépés: olvassa el a fázisokat sorrendben

A kimenet minden fázisa egy döntés gazdával: útvonalkeresés, ACL, NAT, majd VPN- vagy alagút-kiválasztás. Olvassa el őket a nyomtatott sorrendben, és álljon meg az első olyan fázisnál, amely ellentmond a tervezésnek.

A NAT sokakat megtréfál. Ha a lefordított forrás kívül esik azon a crypto ACL-en, amely az alagút forgalmát kiválasztja, a folyamat engedélyezhető és soha nem lesz beágyazva. A nyomkövetés kinyomtatja a lefordított címet, ezért hasonlítsa azt az alagút érdekes forgalmához, ne az eredeti címhez.

4. lépés: ellenőrizze, mely megkerüléseket választotta

A detailed forma olyan kapcsolókat fogad, amelyek kihagynak ellenőrzéseket, és a Cisco dokumentál egy bypass-checks kapcsolót, amely lefedi az ACL-, VPN-szűrő-, uRPF- és IPsec-hamisítási ellenőrzéseket. Az ezekkel megkerülve kapott ALLOW azt mondja, hogy az útvonal és a NAT működne, nem azt, hogy a szabályzat valódi csomagot engedne be. Jegyezze fel a kapcsolókat az eredmény mellé.

Ha a szabályzat válaszára van szüksége, futtassa a megkerülések nélkül. Ha egy útválasztási kérdést izolál, futtassa azokkal, és jelölje az eredményt útválasztási válaszként.

5. lépés: zárja be a rést a valódi cserével

A szimulált engedély az ASA-nál megáll. Hogy a távoli átjáró visszafejtette-e a csomagot, hogy a kiszolgáló elfogadta-e a kapcsolatot, és hogy jött-e vissza válasz, külön megfigyelések. Használjon végponti számlálókat vagy szűk rögzítést jóváhagyott útvonalon.

Egyes trace- és replay-kapcsolók csomagokat továbbítanak vagy állapotot őriznek. Kövesse a kiadásához és a jóváhagyott diagnosztikai eljárásához dokumentált viselkedést ahelyett, hogy minden változatot csak olvasható lekérdezésnek tekintene.

Amit a nyomkövetés még mindig nem tud megmondani

Tartson négy dolgot egy jegyzetben: a tuple-t, az egyező NAT-szabályt, az alagutat vagy szabályzatot, amelynek a folyamatot vinnie kellene, és az irányra jellemző megfigyelést. Ezek nélkül egy későbbi mérnök nem tudja elválasztani a helyi szabályzati döntést egy kialakult vezérsíktól és egy működő szolgáltatástól. Az első kudarcot követő siker sem bizonyítja, hogy az alagútnak közben fel kellett jönnie; jegyezze fel a fázist és az állapotváltozást.

Kezdje a belső tuple-lel, álljon meg az első olyan fázisnál, amely ellentmond a tervezésnek, és csak azután nyúljon végponti bizonyítékokért. A nyomkövetés szabályzati orákulum, nem kézbesítési visszaigazolás.