ASA packet-tracer көмегімен VPN ағынын модельдеу жолы

ASA-дағы packet-tracer тар сұраққа жауап береді: осы tuple-мен осында кіретін бұл пакет рұқсат етіле ме және ол қайда барады. Ол алыс жақ бірдеңе ала ма, оған жауап бермейді. Әдеттегі қате — туннель ішінде жүретін қолданбаны сынағыңыз келгенде сыртқы IKE tuple беру. Алдымен tuple-ді түзетіңіз, фазаларды оқыңыз, содан кейін симулятор көре алмайтынның бәріне нақты дәлел жинаңыз.

Төмендегі шолу ACL, NAT ережесі және tunnel-group контексті алдыңызда деп есептейді. Оларсыз шығыс тексере алмайтын саясатты сипаттайды.

1-қадам: ішкі ағынды қарапайым сөздермен жазыңыз

Бірдеңе теру алдында қолданбаны сипаттаңыз. Ішіндегі хосттың алыс шлюздің артындағы серверге SSH ашуы — белгілі бір бастапқы порты бар бір ішкі TCP ағыны. ACL мен VPN сүзгісі бағалайтын ағын — осы, сондықтан сіз теретін ағын да осы.

Оны бір сөйлем етіп жазыңыз, содан кейін өріс-өріс аударыңыз:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

2-қадам: кіру интерфейсін және бағытты таңдаңыз

Кіру — пакет келетін интерфейс, ол кететін интерфейс емес. Қосылымды бастайтын LAN хост үшін бұл inside интерфейсі. Сол сессияның қайтарым пакеті үшін бұл outside интерфейсі және tuple кері айналады. Межеліні бастапқы ретінде жазу — сенімді, бірақ қатысы жоқ ALLOW алудың екінші ең көп тараған жолы.

Порттардың да бағыты бар. Басталған сұраныста қызмет порты межелі өрісінде, ал клиенттің эфемерлік порты бастапқы өрісінде болады. TCP межелісі 500 болатын модель 500-де тыңдайтын TCP қолданбасын сипаттайды; сан пәрменде көрінгені үшін ол IKE сынағына айналмайды.

3-қадам: фазаларды ретімен оқыңыз

Шығыстағы әрбір фаза — иесі бар шешім: маршрут іздеу, ACL, NAT, содан кейін VPN немесе туннель таңдауы. Оларды басылған ретімен оқыңыз және дизайнға қайшы келетін бірінші фазада тоқтаңыз.

NAT адамдарды жиі шатастырады. Егер аударылған бастапқы мекен туннель үшін трафикті таңдайтын crypto ACL-ден тыс қалса, ағынға рұқсат берілуі мүмкін және ол ешқашан инкапсуляцияланбайды. Із аударылған мекенжайды басады, сондықтан оны түпнұсқа мекенжаймен емес, туннельдің қызықты трафигімен салыстырыңыз.

4-қадам: қандай айналып өтулерді таңдағаныңызды тексеріңіз

detailed формасы тексерулерді өткізіп жіберетін опцияларды қабылдайды, ал Cisco ACL, VPN сүзгісі, uRPF және IPsec жалғандау тексерулерін қамтитын bypass-checks опциясын құжаттайды. Оларды айналып өтіп алынған ALLOW маршрут пен NAT жұмыс істейтінін айтады, саясат нақты пакетті қабылдайды дегенді емес. Опцияларды нәтиженің қасына жазып қойыңыз.

Егер саясат жауабы қажет болса, айналып өтулерсіз іске қосыңыз. Маршруттау сұрағын оқшаулап жатсаңыз, олармен іске қосыңыз және нәтижені маршруттау жауабы деп белгілеңіз.

5-қадам: алшақтықты нақты алмасумен жабыңыз

Симуляцияланған рұқсат ASA-да тоқтайды. Алыс шлюз пакетті шешті ме, сервер қосылымды қабылдады ма және жауап қайтты ма — бұлар бөлек бақылаулар. Соңғы нүкте есептегіштерін пайдаланыңыз немесе мақұлданған жолда тар түсірілім.

Кейбір trace және replay опциялары пакеттерді жібереді немесе күйді сақтайды. Әрбір нұсқаны тек оқуға арналған іздеу деп санаудың орнына өз шығарылымыңыз бен мақұлданған диагностикалық процедураңыз үшін құжатталған мінез-құлықты ұстаныңыз.

Із әлі де айта алмайтын нәрсе

Бір жазбада төрт нәрсені сақтаңыз: tuple, сәйкес NAT ережесі, ағынды тасуға тиіс туннель немесе саясат және бағытқа тән бақылау. Оларсыз кейінгі инженер жергілікті саяси шешімді қалыптасқан басқару жазықтығынан және жұмыс істеп тұрған қызметтен ажырата алмайды. Бірінші сәтсіздіктен кейінгі табыс та туннель осы арада көтерілуі керек еді деген дәлел емес; фазаны және күй өзгерісін жазыңыз.

Ішкі tuple-ден бастаңыз, дизайнға қайшы келетін бірінші фазада тоқтаңыз, содан кейін ғана соңғы нүкте дәлелдеріне жүгініңіз. Із — саясаттың оракулы, жеткізу түбіртегі емес.