Cisco ASA мен Azure VPN арасында: трафик селекторының префикс жұптары

Туннель көтеріледі, IKE сау көрінеді, бірақ одан ештеңе өтпейді. Бұл ASA-дан Azure-ға селектор мәселесінің әдеттегі көрінісі, сондықтан екі консольге де тиіспес бұрын келісімшарт жазамын. Келісімшарт төрт нәрседен тұрады: әр тарапты анықтайтын нысандар, қосылым моделі, нақты префикс жұптары және әр жұпты дәлелдейтін тексеру. Осыларды қате жасасаңыз, кейінгі әр команда құруға тиіс емес конфигурацияны жөндейді. Бұл нұсқаулық — мен қолданатын рет, қай нысан шынымен қате екенін көрсететін командалармен бірге.

Конфигурацияламас бұрын төрт нысанды жазып алыңыз

ASA шығарылымы мен платформасынан, жария шеткі нүктеден, Azure VPN шлюзінің түрі мен SKU-дан және сіздің жағыңызды білдіретін жергілікті желі шлюзінен бастаңыз. Осы төрт атау — кейінгі барлық нәрсенің сөздігі, және бірдеңе бұзылғанда әрқайсысының жауаптысы бөлек.

Егер олардың екеуі әлі болжам болса, тоқтаңыз. Жергілікті желі шлюзінің қате префикс тізімі — реттеу мәселесі емес.

Бір қосылым моделін таңдап, шаблондарды араластыруды доғарыңыз

crypto map дизайны мен tunnel interface дизайны — әртүрлі конфигурациялар, және біреуінің шаблоны қарсылас мекенжайын өңдеу арқылы екіншісіне жарамды болмайды. Бірдеңе қоюдан бұрын қайсысын салып жатқаныңызды жазыңыз, өйткені сәйкессіздік кейін конфигурация қатесі емес, селектор мәселесі ретінде шығады. Microsoft-тың ASA үйлесімділік нұсқаулығы екі үлгіні де қамтиды және қайсысы қандай Azure шлюз моделін болжайтынын айтады. Егер жазбаларыңызда модель аталмаса, дизайн әлі жоқ.

Саясатқа негізделген трафик селекторлары бар маршрутқа негізделген Azure шлюзі — нақты құжатталған нұсқа, әдепкі емес. Егер дизайныңыз оған тәуелді болса, дизайн мұны айтуы керек, өйткені әдепкі маршруттық селектор моделі Azure жағында басқаша әрекет етеді.

Нұсқа шектеулері де келісімшартқа кіреді. Шифрлау домендерінің шегі туралы ескі өрістік есеп — нақты шығарылымдар туралы дерек, әр ASA-ның тұрақты қасиеті емес.

Агрегаттарды емес, префикс жұптарын тізіңіз

Матрицаны жазыңыз. Жергілікті A мен B-дан Azure X пен Y-ға — төрт жұп, және әрқайсысына қамту немесе айқын ерекшелік керек. A мен B-ны бір агрегатқа біріктіру олардың арасындағының бәрін де қосады, осылайша дизайн байқатпай тесік өсіреді.

Сақтағаныңызды емес, тараптар келіскенін тексеріңіз. ASA-дағы жергілікті және қашықтағы желілер тізімі — ниет; CHILD SA — нәтиже.

Жұп жетіспесе, түзету әдетте access-list жолы немесе селектор жазбасы, жаңа туннель емес.

Нысанды атайтын командалармен тексеріңіз

ASA-да IKE сессиясын, содан кейін IPsec SA-ларды, содан кейін селектор жұптарын растаңыз. Әр команда басқа сұраққа жауап береді, тек біріншісін іске қосу «туннель көтерілді» дегенді жалған қорытындыға айналдырады. Тізімдегі бірінші SA емес, нақты конфигурациялаған тараптың шығысын оқыңыз. Azure жағы сол үш сұраққа өз көзқарасынан жауап береді.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Содан кейін Azure-дан қосылым күйін az network vpn-connection show --name <connection> --query connectionStatus арқылы сұраңыз. Деректер жолында нөл байтпен «қосылған» — маршруттау емес, селектор мәселесі.

Әр жұп үшін бір рұқсат етілген ағынды сынап көріңіз, қарсы жақта көрінетін бастапқы мекенжайды тексеріңіз және тыйым салынуы тиіс бір ресурсты сынаңыз. Тек соңғы тест шекараның әлі бар екенін дәлелдейді.

Шифрлау аясын қатынау рұқсатынан бөлек ұстаңыз

Кең селектор — рұқсат емес. Егер қолдау көрсетілетін орналасу қолданба саясатынан кеңірек болса, тар қызметтерді firewall ережелерінде қалдырыңыз және шифрлау аясын тиісінше қалдырыңыз.

Azure жұмыс жүктемесінің маршруттары мен жергілікті қайтару маршруттары бөлек қаралады. BGP хабарламалары, статикалық желі аясы және пайдаланушы анықтаған маршруттар бір жолды сипаттауы керек, және ешқайсысы қарсылас транспортын рекурсивті қамтымауы керек.

Кері қайтару және оның жұмыс істеген дәлелі

Селекторларды өзгерту алдында алдыңғы жұмыс конфигурациясын сақтаңыз және оны қайтаратын бір команданы біліңіз. ASA-да бұл сақталған көшірме мен сәйкес қалпына келтіру жолы, нені өңдегеніңіздің естелігі емес. Өзгеріс әлі гипотетикалық кезде қалпына келтіру командасын өзгеріс билетіне жазыңыз. Содан кейін сол үш тексеруді қайта орындаңыз: IKE күйі, IPsec SA жұптары, әр жұп үшін бір рұқсат етілген ағын.

Егер қалпына келтіргеннен кейін жұп әлі істемесе, өзгеріс себеп емес еді, және сіз екінші үзілістен құтылдыңыз.