Cisco ASA ішіндегі tunneled әдепкі маршруты: ол қашан шынымен қолданылады

Сіздің статикалық әдепкі маршрутыңызды елемейтін шифры ашылған VPN трафигінде әдетте tunneled кілт сөзі болмайды, ал түзету атауынан күткеннен көбірек шектеу әкеледі.

Қашықтан қатынау пайдаланушысы ASA-дан әрі ешнәрсеге жете алмайды, ал сол сервер ішкі LAN-ға ping-ге жауап береді. Туннель көтеріледі, клиент pool-дан мекенжай алады, бірақ пакет әлі де интернеттің әдепкі маршруты арқылы шығып кетеді немесе жоғалады. Бұл үлгі әдетте шифры ашылған трафик өз маршрутын таппай, кәдімгі әдепкіге түсіп кеткенін білдіреді. Түзету тағы бір NAT ережесі емес; түзету — tunneled әдепкі маршруты.

Конфигурациядан емес, симптомнан бастаңыз

Пакеттің қайда бара жатқанын қараңыз, қайда барады деп күткеніңізді емес. Сәтсіз сессия кезінде сыртқы интерфейсте алынған capture шифры ашылған пакеттің ISP шлюзіне қарай бара жатқанын және pool мекенжайы әлі бүтін екенін көрсетеді, немесе іздеу сәтсіз болғандықтан ештеңе көрсетпейді. Екі жағдайда да туннель мәселе емес.

show vpn-sessiondb көрсетілімінде туннель сау көрінеді, сондықтан адамдар IKE-ні debug-тан қояр емес.

Мұны ACL-ден тасталудан ажырататын нәрсе — бағыт. ACL-ден тасталу журналға жазылып, саналады, ал жоқ маршрут сәйкес жазбасыз іздеу қатесін туғызады. Клиенттің межелі пункті үшін show route іске қосып, ASA шын мәнінде нені таңдағанын оқыңыз, соның ішінде әдепкі маршрут таңдалды ма, қайсысы таңдалды.

tunneled іздеуі несімен ерекшеленеді

Cisco-ның ASA 9.23 статикалық маршруттау жөніндегі нұсқаулығы шифры ашылған VPN трафигі үшін жеке әдепкі маршрутты сипаттайды, егер онда статикалық немесе үйренген маршрут болмаса. tunneled кілт сөзі осы маршрутты белгілейді, сондықтан шифры ашылған пакет ASA өз транспорты үшін қолданатын келесі хоптан өзгесіне түсуі мүмкін. Нақтырақ маршруттар бәрібір жеңеді, сондықтан клиент ішкі шлюз арқылы 10.0.0.0/8-ге жете алады да, қалғанының бәрін жоғалтады.

Ең аз конфигурация әртүрлі келесі хоптары бар екі әдепкі маршрутты ұстайды. Біреуі ASA-ның өз трафигін, екіншісі жақсырақ маршруты жоқ шифры ашылған трафикті тасымалдайды. Екі келесі хоп та сіз оларды тіркейтін интерфейстен қолжетімді болуы керек.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Егер екі әдепкі де бір келесі хопқа көрсетсе, кілт сөзі ештеңе өзгертпейді және симптом да жылжымайды.

Оның жұмыс істеуін шешетін шектеулер

Сол нұсқаулық тек бір tunneled әдепкі маршрутқа рұқсат береді және ол үшін ECMP қолдамайтынын айтады, сондықтан бұл жолда жүктемені бөле алмайсыз. Онда маршруттарды бақылау, кері жолды тексеру және кейбір inspection пен басқару ағындарына қатысты шектеулер де келтірілген. Функцияны негізге ала отырып жобаламас бұрын оларды орнатылған release-ке қатысты оқыңыз. Оларды елемейтін жоба әдетте барлық жерде емес, бір нақты жерде құлайды, сондықтан симптом үзілісті болып көрінеді.

Асимметриялық жобаларда кері жолды тексеру қаттырақ тиеді. Егер жауап ASA күткен интерфейстен өзге интерфейспен келсе, пакет маршруттау маңызды болмай тұрып тасталады. Тексеруді өшіріп келесі хопты мәжбүрлеудің орнына топологияны немесе қайтару жолын түзетіңіз.

Маршруттарды бақылау бөлек тұзақ: бақыланатын нысан әдетте кәдімгі әдепкі маршрутты күзетеді, tunneled-ты емес.

Кілт сөзі нені жасамайды

Ол ASA IKE құру үшін қолданатын бастапқы мекенжайды таңдамайды. Туннельдің сыртқы шеткі нүктесі платформаның өз интерфейсі мен бастапқы мекенжай таңдауын ұстанады, ал tunneled әдепкі маршруты бұл шешімге қатыспайды. Оны өзгерту дұрыс емес мекенжайдан басталатын phase 1-ді түзетпейді.

Ол келесі хопты proxy-ге де айналдырмайды. Егер межелі пункт HTTP CONNECT алмасуын күтсе, proxy хостқа шикі IP пакеттерін жіберу сізге тек оларды маршруттамайтын хост береді. Оның орнына клиент қолдайтын proxy механизмін конфигурациялаңыз.

Және ол төменге бағыттағы forwarding жасамайды. Сіз көрсеткен шлюзге әлі де VPN pool-ға қайтатын маршрут керек, сонымен қатар жоба талап ететін жерде бастапқы мекенжайды түрлендіру керек.

Жолды ұшынан ұшына тексеріңіз

Маршрут орнына қойылғаннан кейін төрт нәрсені ретімен тексеріңіз: pool-ға қажет межелі пункт үшін show route, жаңа келесі хопқа қарай интерфейсте capture, шлюздің өзінде capture, және сол шлюзден pool мекенжайына қайтатын жол. Алғашқы екеуі ASA бұл жолды таңдағанын, соңғы екеуі онда біреу жауап беретінін дәлелдейді.

Егер шлюз жауап берсе, бірақ клиент жауапты ешқашан көрмесе, маршруттар кестесіне қайта тимес бұрын бастапқы мекенжайды түрлендіруге және қайтару маршрутына қараңыз.

Тексерген release-іңізді жазып алыңыз, өйткені шектеулер тізімі нұсқаға тәуелді және бір тармақта жұмыс істейтін жоба басқасында басқа жолды қажет етуі мүмкін. Бұл жазба конфигурация үзіндісінен ұзақ өмір сүреді.

Қатысты мақалалар