Cisco ASA ನಿಂದ Azure VPN ಗೆ: ಟ್ರಾಫಿಕ್ ಸೆಲೆಕ್ಟರ್ ಪ್ರಿಫಿಕ್ಸ್ ಜೋಡಿಗಳು

ಸುರಂಗ ಏಳುತ್ತದೆ, IKE ಆರೋಗ್ಯಕರವಾಗಿ ಕಾಣುತ್ತದೆ, ಆದರೆ ಅದರ ಮೂಲಕ ಏನೂ ಹಾದುಹೋಗುವುದಿಲ್ಲ. ಇದು ASA ನಿಂದ Azure ಗೆ ಸೆಲೆಕ್ಟರ್ ಸಮಸ್ಯೆಯ ಸಾಮಾನ್ಯ ರೂಪ, ಮತ್ತು ಆದ್ದರಿಂದ ನಾನು ಯಾವುದೇ ಕನ್ಸೋಲ್ ಮುಟ್ಟುವ ಮೊದಲು ಒಪ್ಪಂದ ಬರೆಯುತ್ತೇನೆ. ಒಪ್ಪಂದ ನಾಲ್ಕು ವಿಷಯಗಳಿಂದ ಕೂಡಿದೆ: ಪ್ರತಿ ಪೀರ್ ಅನ್ನು ಗುರುತಿಸುವ ವಸ್ತುಗಳು, ಸಂಪರ್ಕ ಮಾದರಿ, ನಿಖರ ಪ್ರಿಫಿಕ್ಸ್ ಜೋಡಿಗಳು ಮತ್ತು ಪ್ರತಿ ಜೋಡಿಯನ್ನು ಸಾಬೀತುಪಡಿಸುವ ಪರಿಶೀಲನೆ. ಇವನ್ನು ತಪ್ಪಾಗಿಸಿದರೆ, ಮುಂದಿನ ಪ್ರತಿ ಆಜ್ಞೆಯು ನೀವು ನಿರ್ಮಿಸಬಾರದಿದ್ದ ಸಂರಚನೆಯನ್ನು ಡೀಬಗ್ ಮಾಡುತ್ತದೆ. ಈ ರನ್ಬುಕ್ ನಾನು ಬಳಸುವ ಕ್ರಮ, ಯಾವ ವಸ್ತು ನಿಜವಾಗಿ ತಪ್ಪಾಗಿದೆ ಎಂದು ತೋರಿಸುವ ಆಜ್ಞೆಗಳೊಂದಿಗೆ.

ಸಂರಚಿಸುವ ಮೊದಲು ನಾಲ್ಕು ವಸ್ತುಗಳನ್ನು ಬರೆಯಿರಿ

ASA ಬಿಡುಗಡೆ ಮತ್ತು ಪ್ಲಾಟ್ಫಾರ್ಮ್, ಸಾರ್ವಜನಿಕ ಎಂಡ್ಪಾಯಿಂಟ್, Azure VPN ಗೇಟ್ವೇ ಪ್ರಕಾರ ಮತ್ತು SKU, ಮತ್ತು ನಿಮ್ಮ ಬದಿಯನ್ನು ಪ್ರತಿನಿಧಿಸುವ ಸ್ಥಳೀಯ ನೆಟ್ವರ್ಕ್ ಗೇಟ್ವೇಯಿಂದ ಪ್ರಾರಂಭಿಸಿ. ಆ ನಾಲ್ಕು ಹೆಸರುಗಳು ಮುಂದಿನ ಎಲ್ಲದಕ್ಕೂ ಶಬ್ದಕೋಶ, ಮತ್ತು ಏನಾದರೂ ಮುರಿದಾಗ ಪ್ರತಿಯೊಂದಕ್ಕೂ ಬೇರೆ ಜವಾಬ್ದಾರರು ಇರುತ್ತಾರೆ.

ಅವುಗಳಲ್ಲಿ ಎರಡು ಇನ್ನೂ ಊಹೆಗಳಾಗಿದ್ದರೆ, ನಿಲ್ಲಿಸಿ. ಸ್ಥಳೀಯ ನೆಟ್ವರ್ಕ್ ಗೇಟ್ವೇಯ ತಪ್ಪಾದ ಪ್ರಿಫಿಕ್ಸ್ ಪಟ್ಟಿ ಟ್ಯೂನಿಂಗ್ ಸಮಸ್ಯೆ ಅಲ್ಲ.

ಒಂದು ಸಂಪರ್ಕ ಮಾದರಿಯನ್ನು ಆರಿಸಿ ಮತ್ತು ಟೆಂಪ್ಲೇಟ್ಗಳನ್ನು ಮಿಶ್ರಣ ಮಾಡುವುದನ್ನು ನಿಲ್ಲಿಸಿ

crypto map ವಿನ್ಯಾಸ ಮತ್ತು tunnel interface ವಿನ್ಯಾಸ ಬೇರೆ ಬೇರೆ ಸಂರಚನೆಗಳು, ಮತ್ತು ಒಂದರ ಟೆಂಪ್ಲೇಟ್ ಪೀರ್ ವಿಳಾಸವನ್ನು ಸಂಪಾದಿಸುವುದರಿಂದ ಇನ್ನೊಂದಕ್ಕೆ ಮಾನ್ಯವಾಗುವುದಿಲ್ಲ. ಏನನ್ನಾದರೂ ಅಂಟಿಸುವ ಮೊದಲು ಯಾವುದನ್ನು ನಿರ್ಮಿಸುತ್ತಿದ್ದೀರಿ ಎಂದು ದಾಖಲಿಸಿ, ಏಕೆಂದರೆ ಹೊಂದಾಣಿಕೆಯಿಲ್ಲದಿರುವಿಕೆ ನಂತರ ಸಂರಚನಾ ದೋಷವಾಗಿ ಅಲ್ಲ, ಸೆಲೆಕ್ಟರ್ ಸಮಸ್ಯೆಯಾಗಿ ಕಾಣಿಸುತ್ತದೆ. Microsoft ನ ASA ಪರಸ್ಪರ ಕಾರ್ಯಕ್ಷಮತೆ ಮಾರ್ಗದರ್ಶಿ ಎರಡೂ ಮಾದರಿಗಳನ್ನು ಒಳಗೊಂಡಿದೆ ಮತ್ತು ಪ್ರತಿಯೊಂದು ಯಾವ Azure ಗೇಟ್ವೇ ಮಾದರಿಯನ್ನು ಊಹಿಸುತ್ತದೆ ಎಂದು ಹೇಳುತ್ತದೆ. ನಿಮ್ಮ ಟಿಪ್ಪಣಿಗಳು ಮಾದರಿಯನ್ನು ಹೆಸರಿಸದಿದ್ದರೆ, ಇನ್ನೂ ವಿನ್ಯಾಸವಿಲ್ಲ.

ನೀತಿ ಆಧಾರಿತ ಟ್ರಾಫಿಕ್ ಸೆಲೆಕ್ಟರ್ಗಳೊಂದಿಗೆ ಮಾರ್ಗ ಆಧಾರಿತ Azure ಗೇಟ್ವೇ ಒಂದು ನಿರ್ದಿಷ್ಟ ದಾಖಲಿತ ಆಯ್ಕೆ, ಡೀಫಾಲ್ಟ್ ಅಲ್ಲ. ನಿಮ್ಮ ವಿನ್ಯಾಸ ಅದನ್ನು ಅವಲಂಬಿಸಿದ್ದರೆ, ವಿನ್ಯಾಸ ಅದನ್ನು ಹೇಳಬೇಕು, ಏಕೆಂದರೆ ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗ ಆಧಾರಿತ ಸೆಲೆಕ್ಟರ್ ಮಾದರಿ Azure ಬದಿಯಲ್ಲಿ ಬೇರೆ ರೀತಿ ವರ್ತಿಸುತ್ತದೆ.

ಆವೃತ್ತಿ ಮಿತಿಗಳೂ ಒಪ್ಪಂದಕ್ಕೆ ಸೇರುತ್ತವೆ. ಎನ್ಕ್ರಿಪ್ಶನ್ ಡೊಮೇನ್ಗಳ ಮೇಲಿನ ಮಿತಿ ಬಗ್ಗೆ ಹಳೆಯ ಕ್ಷೇತ್ರ ವರದಿ ನಿರ್ದಿಷ್ಟ ಬಿಡುಗಡೆಗಳ ಬಗ್ಗೆ ಒಂದು ದತ್ತಾಂಶ, ಪ್ರತಿ ASA ಯ ಶಾಶ್ವತ ಗುಣವಲ್ಲ.

ಸಮಗ್ರಗಳನ್ನಲ್ಲ, ಪ್ರಿಫಿಕ್ಸ್ ಜೋಡಿಗಳನ್ನು ಎಣಿಸಿ

ಮ್ಯಾಟ್ರಿಕ್ಸ್ ಬರೆಯಿರಿ. ಆನ್-ಪ್ರೆಮಿಸಸ್ A ಮತ್ತು B ನಿಂದ Azure X ಮತ್ತು Y ಗೆ ನಾಲ್ಕು ಜೋಡಿಗಳು, ಮತ್ತು ಪ್ರತಿಯೊಂದಕ್ಕೂ ಕವರೇಜ್ ಅಥವಾ ಸ್ಪಷ್ಟ ಹೊರಗಿಡುವಿಕೆ ಬೇಕು. A ಮತ್ತು B ಗಳನ್ನು ಒಂದು ಸಮಗ್ರಕ್ಕೆ ಸೇರಿಸುವುದು ಅವುಗಳ ನಡುವೆ ಇರುವುದನ್ನೂ ಒಳಗೊಳ್ಳುತ್ತದೆ, ಹೀಗೆ ವಿನ್ಯಾಸ ಮೌನವಾಗಿ ರಂಧ್ರ ಬೆಳೆಸುತ್ತದೆ.

ನೀವು ಉಳಿಸಿದ್ದನ್ನು ಅಲ್ಲ, ಪೀರ್ಗಳು ಚರ್ಚಿಸಿದ್ದನ್ನು ಪರಿಶೀಲಿಸಿ. ASA ಯಲ್ಲಿನ ಸ್ಥಳೀಯ ಮತ್ತು ದೂರದ ನೆಟ್ವರ್ಕ್ ಪಟ್ಟಿ ಉದ್ದೇಶ; CHILD SA ಗಳು ಫಲಿತಾಂಶ.

ಜೋಡಿ ಕಾಣೆಯಾದಾಗ, ಪರಿಹಾರ ಸಾಮಾನ್ಯವಾಗಿ access-list ಸಾಲು ಅಥವಾ ಸೆಲೆಕ್ಟರ್ ನಮೂದು, ಹೊಸ ಸುರಂಗವಲ್ಲ.

ವಸ್ತುವನ್ನು ಹೆಸರಿಸುವ ಆಜ್ಞೆಗಳಿಂದ ಪರಿಶೀಲಿಸಿ

ASA ಯಲ್ಲಿ IKE ಸೆಷನ್, ನಂತರ IPsec SA ಗಳು, ನಂತರ ಸೆಲೆಕ್ಟರ್ ಜೋಡಿಗಳನ್ನು ದೃಢೀಕರಿಸಿ. ಪ್ರತಿ ಆಜ್ಞೆ ಬೇರೆ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ, ಮತ್ತು ಮೊದಲನೆಯದನ್ನು ಮಾತ್ರ ಚಲಾಯಿಸುವುದು «ಸುರಂಗ ಎದ್ದಿದೆ» ಎಂಬುದನ್ನು ತಪ್ಪು ತೀರ್ಮಾನವಾಗಿಸುತ್ತದೆ. ಪಟ್ಟಿಯಲ್ಲಿ ಮೊದಲು ಬರುವ SA ಅಲ್ಲ, ನೀವು ನಿಜವಾಗಿ ಸಂರಚಿಸಿದ ಪೀರ್ನ ಔಟ್ಪುಟ್ ಓದಿ. Azure ಬದಿ ಅದೇ ಮೂರು ಪ್ರಶ್ನೆಗಳಿಗೆ ತನ್ನ ದೃಷ್ಟಿಕೋನದಿಂದ ಉತ್ತರಿಸುತ್ತದೆ.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

ನಂತರ az network vpn-connection show --name <connection> --query connectionStatus ನೊಂದಿಗೆ Azure ನಿಂದ ಸಂಪರ್ಕ ಸ್ಥಿತಿಯನ್ನು ಕೇಳಿ. ಡೇಟಾ ಮಾರ್ಗದಲ್ಲಿ ಶೂನ್ಯ ಬೈಟ್ಗಳೊಂದಿಗೆ «ಸಂಪರ್ಕಗೊಂಡಿದೆ» ಎಂದರೆ ಅದು ರೂಟಿಂಗ್ ಸಮಸ್ಯೆ ಅಲ್ಲ, ಸೆಲೆಕ್ಟರ್ ಸಮಸ್ಯೆ.

ಪ್ರತಿ ಜೋಡಿಗೆ ಒಂದು ಅನುಮತಿಸಿದ ಹರಿವನ್ನು ಪರೀಕ್ಷಿಸಿ, ಆಚೆ ಬದಿಯಲ್ಲಿ ಕಾಣುವ ಮೂಲ ವಿಳಾಸವನ್ನು ಪರಿಶೀಲಿಸಿ, ಮತ್ತು ನಿರಾಕರಿಸಬೇಕಾದ ಒಂದು ಸಂಪನ್ಮೂಲವನ್ನು ಪ್ರಯತ್ನಿಸಿ. ಆ ಕೊನೆಯ ಪರೀಕ್ಷೆ ಮಾತ್ರ ಗಡಿ ಇನ್ನೂ ಇದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ.

ಎನ್ಕ್ರಿಪ್ಶನ್ ವ್ಯಾಪ್ತಿಯನ್ನು ಪ್ರವೇಶ ಅನುಮತಿಯಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿ ಇರಿಸಿ

ವಿಶಾಲ ಸೆಲೆಕ್ಟರ್ ಅನುಮತಿ ಅಲ್ಲ. ಬೆಂಬಲಿತ ಲೇಔಟ್ ಅಪ್ಲಿಕೇಶನ್ ನೀತಿಗಿಂತ ವಿಶಾಲವಾಗಿದ್ದರೆ, ಸಂಕುಚಿತ ಸೇವೆಗಳನ್ನು firewall ನಿಯಮಗಳಲ್ಲಿ ಇರಿಸಿ ಮತ್ತು ಎನ್ಕ್ರಿಪ್ಶನ್ ವ್ಯಾಪ್ತಿಯನ್ನು ಅದು ಇರಬೇಕಾದಲ್ಲಿ ಬಿಡಿ.

Azure ಕೆಲಸದ ಹೊರೆಯ ಮಾರ್ಗಗಳು ಮತ್ತು ಆನ್-ಪ್ರೆಮಿಸಸ್ ಹಿಂತಿರುಗುವ ಮಾರ್ಗಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಪರಿಶೀಲಿಸಲಾಗುತ್ತದೆ. BGP ಪ್ರಕಟಣೆಗಳು, ಸ್ಥಿರ ನೆಟ್ವರ್ಕ್ ವ್ಯಾಪ್ತಿ ಮತ್ತು ಬಳಕೆದಾರ-ವ್ಯಾಖ್ಯಾನಿತ ಮಾರ್ಗಗಳು ಒಂದೇ ಮಾರ್ಗವನ್ನು ವಿವರಿಸಬೇಕು, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಯಾವುದೂ ಪೀರ್ ಸಾರಿಗೆಯನ್ನು ಪುನರಾವರ್ತಿತವಾಗಿ ಸೆರೆಹಿಡಿಯಬಾರದು.

ರೋಲ್ಬ್ಯಾಕ್ ಮತ್ತು ಅದು ಕೆಲಸ ಮಾಡಿದ ಸಾಕ್ಷ್ಯ

ಸೆಲೆಕ್ಟರ್ಗಳನ್ನು ಬದಲಿಸುವ ಮೊದಲು ಹಿಂದಿನ ಚಾಲನೆಯ ಸಂರಚನೆಯನ್ನು ಇರಿಸಿಕೊಳ್ಳಿ ಮತ್ತು ಅದನ್ನು ಮರಳಿಸುವ ಒಂದು ಆಜ್ಞೆಯನ್ನು ತಿಳಿಯಿರಿ. ASA ಯಲ್ಲಿ ಅದು ಉಳಿಸಿದ ಪ್ರತಿ ಮತ್ತು ಅದಕ್ಕೆ ಹೊಂದುವ ಮರುಸ್ಥಾಪನಾ ಮಾರ್ಗ, ನೀವು ಏನನ್ನು ಸಂಪಾದಿಸಿದಿರಿ ಎಂಬ ನೆನಪಲ್ಲ. ಬದಲಾವಣೆ ಇನ್ನೂ ಕಲ್ಪಿತವಾಗಿರುವಾಗಲೇ ಮರುಸ್ಥಾಪನಾ ಆಜ್ಞೆಯನ್ನು ಬದಲಾವಣೆ ಟಿಕೆಟ್ಗೆ ಬರೆಯಿರಿ. ನಂತರ ಅದೇ ಮೂರು ಪರಿಶೀಲನೆಗಳನ್ನು ಮತ್ತೆ ಚಲಾಯಿಸಿ: IKE ಸ್ಥಿತಿ, IPsec SA ಜೋಡಿಗಳು, ಪ್ರತಿ ಜೋಡಿಗೆ ಒಂದು ಅನುಮತಿಸಿದ ಹರಿವು.

ಮರುಸ್ಥಾಪನೆಯ ನಂತರವೂ ಜೋಡಿ ವಿಫಲವಾದರೆ, ಬದಲಾವಣೆ ಕಾರಣವಾಗಿರಲಿಲ್ಲ, ಮತ್ತು ನೀವು ಎರಡನೇ ಅಡಚಣೆಯನ್ನು ಉಳಿಸಿಕೊಂಡಿದ್ದೀರಿ.