Hvernig á að líkja eftir VPN-flæði með ASA packet-tracer

Packet-tracer á ASA svarar þröngri spurningu: væri þessi pakki, sem kemur hingað inn með þessu tuple, leyfður, og hvert færi hann. Það svarar ekki hvort fjarlægi endinn fái nokkuð. Algenga mistökin eru að gefa ytra IKE-tuple þegar það sem þú vilt prófa er forritið sem fer inni í göngunum. Lagaðu tuple fyrst, lestu fasalistann og aflaðu þá raunverulegra sannana fyrir öllu sem líkanninn getur ekki séð.

Göngin hér að neðan gera ráð fyrir að ACL, NAT-reglan og tunnel-group samhengið séu fyrir framan þig. Án þeirra lýsir úttakið stefnu sem þú getur ekki staðfest.

Skref 1: skrifaðu innra flæðið með einföldum orðum

Lýstu forritinu áður en þú skrifar eitthvað. Hýsill innan sem opnar SSH á þjón bak við fjarlæga gáttina er eitt innra TCP-flæði með tiltekna upprunahöfn. Það er flæðið sem ACL og VPN-sían meta, svo það er flæðið sem þú skrifar.

Skrifaðu það sem setningu og þýddu það svo reit fyrir reit:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Skref 2: veldu inngangsviðmótið og stefnuna

Inngangur er viðmótið sem pakkinn kemur á, ekki það sem hann fer út um. Fyrir LAN-hýsil sem byrjar er það inside-viðmótið. Fyrir svarpakkann í sömu setu er það outside-viðmótið, og tupleið snýst við. Að skrifa áfangann sem uppruna er næstalgengasta leiðin til að fá sannfærandi en óviðkomandi ALLOW.

Hafnir hafa líka stefnu. Þjónustuhöfnin tilheyrir áfangareitnum fyrir hafna beiðni, og skammtímahöfn biðlarans tilheyrir upprunareitnum. Líkan með TCP-áfanga 500 lýsir TCP-forriti sem hlustar á 500; það verður ekki IKE-próf bara af því að talan birtist í skipuninni.

Skref 3: lestu fasana í röð

Hver fasi í úttakinu er ákvörðun með eiganda: leiðarleit, ACL, NAT og svo VPN- eða gönguval. Lestu þá í prentaðri röð og stansaðu við fyrsta fasa sem stangast á við hönnunina.

NAT grípur marga. Ef þýddi uppruninn lendir utan crypto ACL sem velur umferð fyrir göngin getur flæðið verið leyft og aldrei umbúið. Rekjanlegt ferli prentar þýdda hefðið, svo berðu það saman við áhugaverða umferð gagnanna, ekki við upprunalega hefðið.

Skref 4: athugaðu hvaða framhjáhlaup þú valdir

Formið detailed tekur valkosti sem sleppa athugunum, og Cisco skjalfestir bypass-checks valkost sem nær yfir ACL, VPN-síu, uRPF og IPsec-spoof athuganir. ALLOW sem fæst með þeim framhjáhlaupnum segir að leiðin og NAT myndu virka, ekki að stefnan myndi hleypa raunverulegum pakka. Skrifaðu valkostina við hlið niðurstöðunnar.

Ef þú þarft stefnusvarið skaltu keyra án framhjáhlaupanna. Ef þú einangrar leiðarspurningu skaltu keyra með þeim og merkja niðurstöðuna sem leiðarsvar.

Skref 5: lokaðu bilinu með raunverulegri skiptingu

Hermt leyfi stansar við ASA. Hvort fjarlæga gáttin afkóðaði pakkann, hvort þjónninn tók við tengingunni og hvort svar kom til baka eru aðskildar athuganir. Notaðu teljara endapunkta eða þrönga upptöku á samþykktri leið.

Sumir trace- og replay-valkostir senda pakka eða varðveita stöðu. Fylgdu skjalfestri hegðun fyrir útgáfuna þína og samþykkta greiningarferlið í stað þess að meðhöndla hvern afbrigði sem leseingöngu leit.

Hvað rekjan getur enn ekki sagt þér

Haltu fjórum hlutum í einni athugasemd: tupleinu, samsvarandi NAT-reglunni, göngunum eða stefnunni sem ætti að bera flæðið, og athuguninni sem er sértæk fyrir stefnuna. Án þeirra getur síðari verkfræðingur ekki aðskilið staðbundna stefnuákvörðun frá rótgrónu stjórnplani og frá virkri þjónustu. Fyrsta mistök sem fylgir árangur er heldur ekki sönnun þess að göngin hafi þurft að rísa á milli; skrifaðu fasa og stöðubreytingu.

Byrjaðu á innra tupleinu, stansaðu við fyrsta fasa sem stangast á við hönnunina og gríptu aðeins þá í sannanir endapunkta. Rekjanlegt ferli er stefnuórákel, ekki afhendingarkvittun.