Cisco ASA til Azure VPN: forskeytispör umferðarvala

Göngin koma upp, IKE lítur heilbrigt út og ekkert fer í gegnum þau. Þetta er venjulega mynd ASA-til-Azure-valavandamáls, og þess vegna skrifa ég samninginn áður en ég snerti hvora tveggja stjórnborðanna. Samningurinn er fjórir hlutir: hlutirnir sem auðkenna hvern jafningja, tengimódelið, nákvæmu forskeytispörin og staðfestingin sem sannar hvert par. Ef þetta er rangt, kembir hver síðari skipun stillingu sem þú hefðir ekki átt að byggja. Þetta runbook er röðin sem ég nota, ásamt skipununum sem sýna hvaða hlutur er í raun rangur.

Skrifaðu fjóra hlutina niður áður en þú stillir

Byrjaðu á útgáfu og vettvangi ASA, opinberum endapunkti, tegund og SKU Azure VPN-gáttar og staðarnetgáttinni sem táknar þína hlið. Þessi fjögur nöfn eru orðaforðinn fyrir allt sem kemur á eftir, og hvert þeirra hefur annan eiganda þegar eitthvað brotnar.

Ef tvö þeirra eru enn ágiskanir, stoppaðu. Röng forskeytalisti á staðarnetgáttinni er ekki stillingarvandamál.

Veldu eitt tengimódel og hættu að blanda saman sniðmátum

Crypto map-hönnun og tunnel interface-hönnun eru mismunandi stillingar, og sniðmát fyrir aðra verður ekki gilt fyrir hina með því að breyta vistfanginu. Skráðu hvort þú ert að byggja áður en þú límir eitthvað, því misræmið kemur síðar fram sem valavandamál en ekki sem stillingarvilla. Samvirknileiðbeiningar Microsoft um ASA ná yfir bæði mynstrin og segja hvaða Azure-gáttarmódel hvort gerir ráð fyrir. Ef minnispunktarnir þínir nefna módelið ekki, hefur þú ekki enn hönnun.

Azure-gátt sem byggir á leiðum með umferðarvölum sem byggja á stefnu er sérstakur skjalfestur valkostur, ekki sjálfgefið. Ef hönnunin þín byggir á honum verður hönnunin að segja það, því sjálfgefna leiðamiðaða valamódelið hegðar sér öðruvísi á Azure-hliðinni.

Útgáfutakmörk tilheyra samningnum líka. Gömul vettvangsskýrsla um þak á dulkóðunarlénum er gagnapunktur um ákveðnar útgáfur, ekki varanleg eiginleiki hverrar ASA.

Teldu upp forskeytispörin, ekki samantektirnar

Skrifaðu fylkið. Staðbundin A og B til Azure X og Y eru fjögur pör, og hvert þeirra þarf annaðhvort þekju eða skýra undantekningu. Að fella A og B í eina samantekt felur líka í sér allt sem er á milli þeirra, og þannig fær hönnun hljóðlega gat.

Athugaðu hvað jafningjarnir semdu um, ekki hvað þú vistaðir. Listi yfir staðbundin og fjarlæg net á ASA er ætlun; CHILD SA eru niðurstaðan.

Þegar par vantar er lagfæringin venjulega access-list-lína eða valafærsla, ekki ný göng.

Staðfestu með skipunum sem nefna hlutinn

Á ASA, staðfestu IKE-lotuna, svo IPsec SA, svo valapörin. Hver skipun svarar annarri spurningu, og að keyra aðeins fyrstu er leiðin sem fullyrðingin um að göngin séu upp verður röng ályktun. Lestu úttakið fyrir þann jafningja sem þú stilltir í raun, ekki fyrir það SA sem verður fyrst á listanum. Azure-hliðin svarar sömu þremur spurningunum út frá sínu sjónarhorni.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Spyrðu Azure svo um stöðu tengingarinnar með az network vpn-connection show --name <connection> --query connectionStatus. Connected með núll bætum á gagnaleiðinni er valavandamál, ekki leiðavandamál.

Prófaðu eitt leyft flæði fyrir hvert par, skoðaðu upprunavistfangið sem sést hinum megin og prófaðu eitt tilfang sem ætti að vera hafnað. Sú síðasta prófun er eina sem sannar að mörkin séu enn til.

Haltu dulkóðunarsviðinu aðskildu frá aðgangsheimild

Breitt val er ekki heimild. Ef studda skipulagið er breiðara en forritastefnan skaltu halda þröngu þjónustunum í eldveggjareglunum og láta dulkóðunarsviðið vera þar sem það verður að vera.

Azure-vinnuflutningsleiðir og staðbundnar afturleiðir eru skoðaðar sér. BGP-tilkynningar, kyrrstætt netssvið og notandaskilgreindar leiðir verða allar að lýsa sömu leið, og engin þeirra má grípa flutning jafningjans endurkvæmt.

Afturköllun og sönnunin um að hún hafi virkað

Geymdu fyrri keyrandi stillingu áður en þú breytir umferðarvölum og vitaðu þá einu skipun sem setur hana aftur. Á ASA þýðir það vistað eintak og samsvarandi endurheimtarleið, ekki minning um það sem þú breyttir. Skrifaðu endurheimtarskipunina í breytingamiðann meðan breytingin er enn ímynduð. Keyrðu svo sömu þrjár athuganir aftur: IKE-staða, IPsec SA-pör, eitt leyft flæði fyrir hvert par.

Ef par mistekst enn eftir endurheimtina var breytingin ekki orsökin, og þú sparaðir þér rétt í þessu aðra truflun.