Tunneled sjálfgefna leið Cisco ASA: hvenær hún á í raun við

Fjartengdum notanda tekst ekki að ná neinu handan ASA-tækisins á meðan sami netþjónn svarar pingum úr innra LAN-inu. Göngin koma upp, biðlarinn fær tölu úr lauginni, og pakkinn fer samt út um sjálfgefnu internetleiðina eða hverfur. Þetta mynstur þýðir venjulega að afkóðuð umferð fann enga eigin leið og féll í gegn á venjulegu sjálfgefnu leiðina. Lagfæringin er ekki önnur NAT-regla; hún er tunneled sjálfgefna leiðin.

Byrjaðu á einkenninu, ekki stillingunni

Fylgstu með því hvert pakkinn fer í stað þess hvert þú bjóst við að hann færi. Upptaka á ytri tenginu meðan á misheppnuðu lotu stendur sýnir afkóðaða pakkann stefna að gátt ISP með töluna úr lauginni enn ósnortna, eða sýnir ekkert því uppflettingin mistókst. Hvort sem er, þá er það ekki göngin sem eru vandamálið.

Göngin líta heilbrigð út í show vpn-sessiondb, og einmitt þess vegna halda menn áfram að kemba IKE.

Það sem greinir þetta frá ACL-falli er stefnan. ACL-fall er skráð og talið, en leið sem vantar veldur uppflettingarmistökum án samsvarandi færslu. Keyrðu show route fyrir áfangastað biðlarans og lestu hvað ASA valdi í raun, þar á meðal hvort sjálfgefna leið var valin og hver.

Hvernig tunneled uppflettingin er öðruvísi

Leiðarvísir Cisco um kyrrstæða leiðsetningu í ASA 9.23 lýsir sérstakri sjálfgefinni leið fyrir afkóðaða VPN-umferð sem hefur enga kyrrstæða eða lærða leið. tunneled lykilorðið merkir þá leið, svo afkóðaður pakki getur fallið á annan næsta hopp en þann sem ASA notar fyrir eigin flutning. Nákvæmari leiðir vinna samt, og þess vegna getur biðlari náð 10.0.0.0/8 gegnum innri gáttina og tapað öllu öðru.

Lágmarksuppsetning heldur tveimur sjálfgefnum leiðum með ólíkum næsta hoppum. Önnur flytur eigin umferð ASA, hin flytur afkóðaða umferð sem hefur enga betri leið. Bæði næstu hoppin verða samt að vera aðgengileg frá tenginu sem þú festir þau við.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Ef báðar sjálfgefnu leiðirnar benda á sama næsta hopp breytir lykilorðið engu og einkennið færist ekki.

Takmarkanirnar sem ráða því hvort þetta virkar

Sami leiðarvísir leyfir aðeins eina tunneled sjálfgefna leið og segir að ECMP sé ekki stutt fyrir hana, svo þú getur ekki dreift álagi á þá leið. Hann telur einnig upp takmarkanir sem varða leiðareftirlit, sannprófun bakleiðar og sum skoðunar- og stjórnunarflæði. Lestu þær með hliðsjón af uppsettu útgáfunni áður en þú hannar í kringum eiginleikann. Hönnun sem hunsar þær bregst venjulega á einum tilteknum stað en ekki alls staðar, og þess vegna virðist einkennið slitrótt.

Sannprófun bakleiðar er sú sem bítur í ósamhverfum hönnunum. Ef svarið kæmi um annað tengi en ASA væntir er pakkanum hent áður en leiðsetningin skiptir máli. Lagaðu topólógíuna eða bakleiðina í stað þess að slökkva á sannprófuninni til að þvinga fram næsta hopp.

Leiðareftirlit er sérstök gildra: fylgst hluturinn gætir venjulega hinnar venjulegu sjálfgefnu leiðar, ekki tunneled leiðarinnar.

Hvað lykilorðið gerir ekki

Það velur ekki upprunatöluna sem ASA notar til að byggja IKE. Ytri endapunktur ganganna fylgir eigin vali kerfisins á tengi og uppruna, og tunneled sjálfgefna leiðin á engan þátt í þeirri ákvörðun. Að breyta henni lagar ekki phase 1 sem á uppruna í rangri tölu.

Það breytir næsta hoppinu heldur ekki í milliþjón. Ef áfangastaðurinn væntir HTTP CONNECT skipta og þú sendir hráa IP-pakka á milliþjón færðu bara þjón sem leiðsetur þá ekki. Stilltu heldur milliþjónsaðferðina sem biðlarinn styður.

Og það býr ekki til frekari framsendingu. Gáttin sem þú bendir á þarf samt leið til baka í VPN-laugina, auk þýðingar upprunans þar sem hönnunin kallar á hana.

Sannprófaðu leiðina enda til enda

Þegar leiðin er komin á stað, athugaðu fjóra hluti í röð: show route fyrir áfangastað sem laugin þarf, upptöku á tenginu að nýja næsta hoppinu, upptöku á gáttinni sjálfri og bakleið frá þeirri gátt að tölu laugarinnar. Fyrstu tveir sanna að ASA valdi leiðina, og seinni tveir að einhver svarar á henni.

Ef gáttin svarar en biðlarinn sér aldrei svar, skoðaðu þýðingu upprunans og bakleiðina áður en þú snertir leiðatöfluna aftur.

Skráðu útgáfuna sem þú sannprófaðir á, því takmarkanalistinn er útgáfusértækur og hönnun sem virkar á einni lest getur þurft aðra leið á annarri. Sú athugasemd lifir lengur en stillingabrotið.