ಸೈಟ್-ಟು-ಸೈಟ್ VPN ಮೇಲೆ ASA DHCP ರಿಲೇ: ಹಂತ ಹಂತದ ಮಾರ್ಗದರ್ಶಿ

ರಿಲೇ ಮೂರು ಹಂತಗಳಲ್ಲಿ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಮತ್ತು ಕೇವಲ ಮಧ್ಯದ ಹಂತವು VPN ಅನ್ನು ದಾಟುತ್ತದೆ. ಕ್ಲೈಂಟ್ ಶಾಖಾ ಸೆಗ್ಮೆಂಟ್ನಲ್ಲಿ ಬ್ರಾಡ್ಕಾಸ್ಟ್ ಮಾಡುತ್ತದೆ, ASA ಆ ಬ್ರಾಡ್ಕಾಸ್ಟ್ ಅನ್ನು DHCP ಸರ್ವರ್ಗೆ ಯುನಿಕಾಸ್ಟ್ ವಿನಂತಿಯಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ, ಮತ್ತು ಸರ್ವರ್ ಕ್ಲೈಂಟ್ಗೆ ಬದಲಾಗಿ ರಿಲೇ ವಿಳಾಸಕ್ಕೆ ಉತ್ತರಿಸುತ್ತದೆ. ಈ ಕ್ರಮದಲ್ಲೇ ಹಂತಗಳನ್ನು ಕ್ರಮಿಸಿ, ಮತ್ತು «ರಿಲೇ ಕೆಟ್ಟಿದೆ» ಎಂಬ ಹೆಚ್ಚಿನ ಪ್ರಕರಣಗಳು ಕಾಣೆಯಾದ ನೀತಿ ಅಥವಾ ತಪ್ಪಾಗಿ ಓದಿದ setroute ಸಾಲಿಗೆ ಬಂದು ನಿಲ್ಲುತ್ತವೆ.

ಮೊದಲ ಹಂತ: ಕ್ಲೈಂಟ್ನ ಕಡೆಗಿನ ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ರಿಲೇ ಸಕ್ರಿಯಗೊಳಿಸಿ

ಶಾಖೆಯ ASA ನಲ್ಲಿ ರಿಲೇ ಎಂಬುದು ಕ್ಲೈಂಟ್ಗಳ ಕಡೆಗೆ ನೋಡುವ ಇಂಟರ್ಫೇಸ್ನ ಗುಣ. ಸರ್ವರ್ ಅನ್ನು ಅದರ ತಲುಪಬಹುದಾದ ಇಂಟರ್ಫೇಸ್ನೊಂದಿಗೆ ಜಾಗತಿಕವಾಗಿ ಘೋಷಿಸಬಹುದು, ಅಥವಾ ರೂಟಿಂಗ್ ಕೋಷ್ಟಕವು ನಿರ್ಗಮನವನ್ನು ಆಯ್ಕೆ ಮಾಡಲು ಆ ಕ್ಲೈಂಟ್-ಮುಖಿ ಇಂಟರ್ಫೇಸ್ನ ಅಡಿಯಲ್ಲಿ ಘೋಷಿಸಬಹುದು. ಈ ಎರಡು ರೂಪಗಳು ಪರಸ್ಪರ ಬದಲಾಯಿಸಲಾಗದವು, ಮತ್ತು ತಪ್ಪಾದದನ್ನು ನಕಲಿಸುವುದು ಮಾರ್ಗದರ್ಶಿ ದಾರಿ ತಪ್ಪುವ ಮೊದಲ ಸ್ಥಳ.

ಏನನ್ನಾದರೂ ಬದಲಿಸುವ ಮೊದಲು ಚಾಲನೆಯಲ್ಲಿರುವ ಕಾನ್ಫಿಗ್ ಪರಿಶೀಲಿಸಿ: ಯಾವ ಇಂಟರ್ಫೇಸ್ನಲ್ಲಿ ರಿಲೇ ಸಕ್ರಿಯವಾಗಿದೆ, ಯಾವ ಸರ್ವರ್ ರೂಪ ಇದೆ, ಮತ್ತು setroute ಕ್ಲೈಂಟ್ ಇಂಟರ್ಫೇಸ್ಗೆ ಜೋಡಿಸಲಾಗಿದೆಯೇ. ASA ಬೇರೆ ಸೆಗ್ಮೆಂಟ್ಗೆ DHCP ಸರ್ವರ್ ಕೂಡ ನಡೆಸುತ್ತಿದ್ದರೆ, ನಿಲ್ಲಿಸಿ ಮತ್ತು ನಿರ್ಬಂಧಗಳ ಪಟ್ಟಿ ಓದಿ; ಒಂದೇ ಸಾಧನದಲ್ಲಿ ಸರ್ವರ್ ಮತ್ತು ರಿಲೇ ಎರಡನ್ನೂ ಒಟ್ಟಿಗೆ ಸಕ್ರಿಯಗೊಳಿಸಲಾಗದು.

ರಿಲೇ ತನ್ನದೇ ಕ್ಲೈಂಟ್-ಮುಖಿ ವಿಳಾಸವನ್ನು ಗೇಟ್ವೇ-ವಿಳಾಸ ಕ್ಷೇತ್ರದಲ್ಲಿ ಇಡುತ್ತದೆ. ಸರ್ವರ್ ಉತ್ತರಿಸುವುದು ಆ ವಿಳಾಸಕ್ಕೇ, ಆದ್ದರಿಂದ ಅದು ಸ್ಥಳೀಯವಾಗಿ ಮಾತ್ರವಲ್ಲ, ಟನೆಲ್ ಮೂಲಕ ದೂರದ ಸೈಟ್ನಿಂದಲೂ ತಲುಪಬಹುದಾಗಿರಬೇಕು.

ಎರಡನೇ ಹಂತ: ASA ಉತ್ಪಾದಿಸುವ ಟ್ರಾಫಿಕ್ ಅನ್ನು ಟನೆಲ್ ಮೂಲಕ ಸಾಗಿಸಿ

ಇದು ಜನರು ಬಿಟ್ಟುಬಿಡುವ ಹಂತ. ನೀತಿ-ಆಧಾರಿತ ಸೈಟ್-ಟು-ಸೈಟ್ VPN ಸಾಮಾನ್ಯವಾಗಿ ಸಬ್ನೆಟ್ಗಳ ನಡುವಿನ ಟ್ರಾಫಿಕ್ಗಾಗಿ ನಿರ್ಮಿಸಲಾಗುತ್ತದೆ, ಮತ್ತು ರಿಲೇ ವಿನಂತಿಯನ್ನು ASA ಸ್ವತಃ ಉತ್ಪಾದಿಸುತ್ತದೆ. ಟನೆಲ್ನ ಪ್ರವೇಶ ಪಟ್ಟಿ ಮತ್ತು ಕ್ರಿಪ್ಟೋ ನಕ್ಷೆ ಕೇವಲ ಶಾಖಾ-ಹೋಸ್ಟ್ನಿಂದ ಸರ್ವರ್-ಸಬ್ನೆಟ್ಗೆ ಹರಿಯುವ ಹರಿವುಗಳಿಗೆ ಹೊಂದಿಕೆಯಾದರೆ, ರಿಲೇ ಪ್ಯಾಕೆಟ್ ಎಂದಿಗೂ ಟನೆಲ್ ಪ್ರವೇಶಿಸದೇ ಇರಬಹುದು. ಪ್ರವೇಶ ಪಟ್ಟಿಯನ್ನು ಎರಡೂ ದಿಕ್ಕುಗಳಲ್ಲಿ ಪರಿಶೀಲಿಸಿ, ಶಾಖೆಯಿಂದ ಸರ್ವರ್ಗೆ ಇರುವ ಸಾಲಿನಲ್ಲಿ ಮಾತ್ರವಲ್ಲ.

ಆಸಕ್ತಿಯ ಟ್ರಾಫಿಕ್ ASA ಯ ರಿಲೇ ಮೂಲ ಮತ್ತು ಸರ್ವರ್ನ ವಿಳಾಸವನ್ನು ಆವರಿಸುತ್ತದೆ ಎಂದೂ, ಹಿಂತಿರುಗುವ ದಿಕ್ಕೂ ಅನುಮತಿಸಲಾಗಿದೆ ಎಂದೂ ಖಚಿತಪಡಿಸಿ. VTI-ಆಧಾರಿತ ವಿನ್ಯಾಸದಲ್ಲಿ ರೂಟಿಂಗ್ ನಿರ್ಧಾರ ಸರಳವಾಗಿದೆ, ಆದರೆ VTI ಮೇಲೆ ರಿಲೇ ಬೆಂಬಲ ನಿರ್ದಿಷ್ಟ ಬಿಡುಗಡೆಯಲ್ಲಿ ಬಂದಿತು; ASA ನ DHCP ಮಾರ್ಗದರ್ಶಿ 9.14(1) ಅನ್ನು ಸೂಚಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಹಳೆಯ ಸಾಧನಕ್ಕೆ VTI ಉದಾಹರಣೆಯನ್ನು ನಕಲಿಸುವ ಮೊದಲು ಇಮೇಜ್ ಪರಿಶೀಲಿಸಿ.

ASA ಯಿಂದ ಸರ್ವರ್ಗೆ ping ಸ್ವತಃ ಹೆಚ್ಚೇನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಅದು ಬೇರೆ ಮಾರ್ಗದಿಂದ, ಬೇರೆ ಮೂಲ ವಿಳಾಸದೊಂದಿಗೆ, ಅಥವಾ ರಿಲೇ ಪ್ಯಾಕೆಟ್ಗಳಿಗೆ ಹೊಂದಿಕೆಯಾಗದ ನೀತಿಯ ಅಡಿಯಲ್ಲಿ ಯಶಸ್ವಿಯಾಗಬಹುದು.

ಮೂರನೇ ಹಂತ: ಉತ್ತರ ಮತ್ತು setroute ಆಯ್ಕೆ ಓದಿ

RFC 2131 ಹೇಳುವಂತೆ ಆ ಕ್ಷೇತ್ರ ಶೂನ್ಯವಲ್ಲದಿದ್ದಾಗ ಸರ್ವರ್ ತನ್ನ ಉತ್ತರವನ್ನು giaddr ನಲ್ಲಿರುವ ವಿಳಾಸಕ್ಕೆ ಕಳುಹಿಸುತ್ತದೆ. ಆದ್ದರಿಂದ ಹಿಂತಿರುಗುವ ಮಾರ್ಗವು ರಿಲೇ ವಿಳಾಸಕ್ಕೆ ರೂಟ್ ಆಗಬೇಕು, ಮತ್ತು ಟನೆಲ್ ನೀತಿ ಸರ್ವರ್ನಿಂದ ರಿಲೇಗಿನ ದಿಕ್ಕನ್ನು ಅನುಮತಿಸಬೇಕು. ವಿನಂತಿ ದಾಟಿತು ಆದರೆ ಕೊಡುಗೆ ಎಂದಿಗೂ ಬರಲಿಲ್ಲವಾದರೆ, ನೋಡಬೇಕಾದ ಸ್ಥಳ ಇಲ್ಲಿಯೇ.

ನಂತರ ಒಂದೇ ರೀತಿ ಕೇಳಿಸುವ ಎರಡು ವಿಷಯಗಳನ್ನು ಬೇರ್ಪಡಿಸಿ. setroute ಕೀವರ್ಡ್ ASA ಕ್ಲೈಂಟ್ಗೆ ನೀಡುವ ಡೀಫಾಲ್ಟ್-ರೌಟರ್ ಆಯ್ಕೆಯನ್ನು ಬದಲಿಸುತ್ತದೆ ಅಥವಾ ಸೇರಿಸುತ್ತದೆ. ಅದು ASA ಮೇಲೆ ರೂಟ್ ಸ್ಥಾಪಿಸುವುದಿಲ್ಲ ಮತ್ತು VPN ನೀತಿ ರಚಿಸುವುದಿಲ್ಲ. ವಿಳಾಸ ಸಿಕ್ಕರೂ ಎಲ್ಲಿಗೂ ತಲುಪದ ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಹೆಚ್ಚಾಗಿ setroute ಅಥವಾ ಸ್ಕೋಪ್ ಸಮಸ್ಯೆ ಇರುತ್ತದೆ, ಟನೆಲ್ ಸಮಸ್ಯೆ ಅಲ್ಲ. ಸ್ಥಿರ ಗೇಟ್ವೇ ಇಲ್ಲದ ಕ್ಲೈಂಟ್ನೊಂದಿಗೆ ಪರೀಕ್ಷಿಸಿ ಮತ್ತು ಕೊಡುಗೆಯಲ್ಲಿ ಯಾವ ಡೀಫಾಲ್ಟ್ ರೌಟರ್ ಕಾಣಿಸುತ್ತದೆ ಎಂದು ನೋಡಿ.

ಕೊಡುಗೆಯನ್ನು ಆರಂಭದಿಂದ ಕೊನೆಯವರೆಗೆ ಓದಿ: ನೀಡಿದ ವಿಳಾಸ, ಮಾಸ್ಕ್, ಡೀಫಾಲ್ಟ್ ರೌಟರ್, DNS ಮತ್ತು ಲೀಸ್ ಸಮಯ. ನಂತರ ಲೀಸ್ ನವೀಕರಣಗೊಳ್ಳಲಿ. ಒಮ್ಮೆ ಕೆಲಸ ಮಾಡಿ ನವೀಕರಣದಲ್ಲಿ ವಿಫಲವಾಗುವ ರಿಲೇನಲ್ಲಿ ಸಾಮಾನ್ಯವಾಗಿ ಸ್ಕೋಪ್, ಲೀಸ್ ಅಥವಾ ಹಿಂತಿರುಗುವ ಮಾರ್ಗದ ಸಮಸ್ಯೆ ಇರುತ್ತದೆ, ಅದನ್ನು ಮೊದಲ ವಿನಿಮಯ ಮರೆಮಾಡಿತ್ತು.

ಸರಿಪಡಿಸಲಾಗಿದೆ ಎಂದು ಹೇಳುವ ಮೊದಲು ನಾನು ಏನನ್ನು ಪರಿಶೀಲಿಸುತ್ತೇನೆ

ಕ್ಲೈಂಟ್ನಿಂದ ಪ್ರಾರಂಭಿಸಿ ಬ್ರಾಡ್ಕಾಸ್ಟ್ ಸೆರೆಹಿಡಿಯಿರಿ, ನಂತರ ASA ತನ್ನದೇ ವಿಳಾಸವನ್ನು giaddr ಆಗಿ ಬಳಸಿ ಅದನ್ನು ರಿಲೇ ಮಾಡಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ದೂರದ ಬದಿಯಲ್ಲಿ ಸರ್ವರ್ ಆ ವಿನಂತಿ ನೋಡಿ ಶಾಖೆಗೆ ಹೊಂದುವ ಸ್ಕೋಪ್ ಆಯ್ಕೆ ಮಾಡಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಶಾಖೆಗೆ ಹಿಂತಿರುಗಿ ಕ್ಲೈಂಟ್ ಕೊಡುಗೆಯನ್ನು ಸ್ವೀಕರಿಸಿ ತನ್ನ ಗೇಟ್ವೇ ತಲುಪುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ.

ಯಾವುದೇ ಹಂತ ಮೌನವಾಗಿದ್ದರೆ, ಇನ್ನೊಂದು ರಿಲೇ ಹೇಳಿಕೆ ಸೇರಿಸುವ ಬದಲು ಸಂಬಂಧಿತ ನೀತಿ ಅಥವಾ ರೂಟ್ ಪರಿಶೀಲಿಸಿ. ಯಾರಾದರೂ ಏರಿಸುವಷ್ಟರಲ್ಲಿ ರಿಲೇ ಕಾನ್ಫಿಗ್ ಸಾಮಾನ್ಯವಾಗಿ ಸರಿಯಾಗಿಯೇ ಇರುತ್ತದೆ; ಬದಲಾಗಿರುವುದು ಟನೆಲ್ ನೀತಿ ಅಥವಾ ಹಿಂತಿರುಗುವ ರೂಟ್.

ಮೂರು ಹಂತಗಳನ್ನು ಬದಲಾವಣೆ ದಾಖಲೆಯಲ್ಲಿ ಬರೆಯಿರಿ: ಕ್ಲೈಂಟ್-ಮುಖಿ ಇಂಟರ್ಫೇಸ್, ರಿಲೇ ಟ್ರಾಫಿಕ್ ಆವರಿಸುವ VPN ನೀತಿ, ಮತ್ತು ಸರ್ವರ್ನ giaddr ಗೆ ಹಿಂತಿರುಗುವ ರೂಟ್. ಆ ದಾಖಲೆಯೇ ಮುಂದಿನ ಶಾಖಾ ನಿರ್ಮಾಣವನ್ನು ಡೀಬಗಿಂಗ್ ಅವಧಿಯ ಬದಲು ಪುನರಾವರ್ತಿಸಬಹುದಾದ ಕೆಲಸವನ್ನಾಗಿಸುತ್ತದೆ. ಮುಂದಿನ ಎಂಜಿನಿಯರ್ಗೆ ಮೊದಲು ಯಾವ ಕಮಾಂಡ್ ಔಟ್ಪುಟ್ ಸಂಗ್ರಹಿಸಬೇಕೆಂದೂ ಅದು ಹೇಳುತ್ತದೆ.