Cisco ASA ಟನೆಲ್ಡ್ ಡೀಫಾಲ್ಟ್ ರೂಟ್: ಅದು ನಿಜವಾಗಿ ಯಾವಾಗ ಅನ್ವಯವಾಗುತ್ತದೆ

ರಿಮೋಟ್-ಆಕ್ಸೆಸ್ ಬಳಕೆದಾರರು ASA ಯ ಆಚೆ ಏನನ್ನೂ ತಲುಪಲಾರರು, ಆದರೆ ಅದೇ ಸರ್ವರ್ ಒಳಗಿನ LAN ನಿಂದ ಬರುವ ಪಿಂಗ್‌ಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತದೆ. ಟನೆಲ್ ಮೇಲೆ ಬರುತ್ತದೆ, ಕ್ಲೈಂಟ್ ಪೂಲ್‌ನಿಂದ ವಿಳಾಸ ಪಡೆಯುತ್ತದೆ, ಆದರೂ ಪ್ಯಾಕೆಟ್ ಇಂಟರ್ನೆಟ್ ಡೀಫಾಲ್ಟ್ ಮೂಲಕವೇ ಹೊರಡುತ್ತದೆ ಅಥವಾ ಕಣ್ಮರೆಯಾಗುತ್ತದೆ. ಈ ಮಾದರಿ ಸಾಮಾನ್ಯವಾಗಿ ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಸಂಚಾರಕ್ಕೆ ತನ್ನದೇ ಮಾರ್ಗ ಸಿಗಲಿಲ್ಲ ಮತ್ತು ಸಾಮಾನ್ಯ ಡೀಫಾಲ್ಟ್‌ಗೆ ಬಿದ್ದಿದೆ ಎಂದು ಅರ್ಥ. ಪರಿಹಾರ ಇನ್ನೊಂದು NAT ನಿಯಮವಲ್ಲ; ಪರಿಹಾರ ಟನೆಲ್ಡ್ ಡೀಫಾಲ್ಟ್.

ಸಂರಚನೆಯಿಂದಲ್ಲ, ಲಕ್ಷಣದಿಂದ ಪ್ರಾರಂಭಿಸಿ

ಪ್ಯಾಕೆಟ್ ಎಲ್ಲಿಗೆ ಹೋಗುತ್ತದೆ ಎಂದು ನೋಡಿ, ಅದು ಎಲ್ಲಿಗೆ ಹೋಗುತ್ತದೆ ಎಂದು ನೀವು ನಿರೀಕ್ಷಿಸಿದ್ದೀರಿ ಎಂಬುದನ್ನಲ್ಲ. ವಿಫಲವಾದ ಸೆಷನ್ ಸಮಯದಲ್ಲಿ ಹೊರಗಿನ ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ ತೆಗೆದ ಕ್ಯಾಪ್ಚರ್, ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಪ್ಯಾಕೆಟ್ ಪೂಲ್ ವಿಳಾಸವನ್ನು ಹಾಗೆಯೇ ಉಳಿಸಿಕೊಂಡು ISP ಗೇಟ್‌ವೇ ಕಡೆ ಹೋಗುತ್ತಿರುವುದನ್ನು ತೋರಿಸುತ್ತದೆ, ಅಥವಾ ಹುಡುಕಾಟ ವಿಫಲವಾದ ಕಾರಣ ಏನನ್ನೂ ತೋರಿಸುವುದಿಲ್ಲ. ಎರಡೂ ಸಂದರ್ಭಗಳಲ್ಲಿ ಟನೆಲ್ ಸಮಸ್ಯೆಯಲ್ಲ.

show vpn-sessiondb ನಲ್ಲಿ ಟನೆಲ್ ಆರೋಗ್ಯಕರವಾಗಿ ಕಾಣುತ್ತದೆ, ಮತ್ತು ಅದಕ್ಕೇ ಜನರು IKE ಡೀಬಗ್ ಮಾಡುವುದನ್ನು ಮುಂದುವರಿಸುತ್ತಾರೆ.

ACL ಡ್ರಾಪ್‌ನಿಂದ ಇದನ್ನು ಬೇರ್ಪಡಿಸುವುದು ದಿಕ್ಕು. ACL ಡ್ರಾಪ್ ಲಾಗ್ ಆಗಿ ಎಣಿಸಲ್ಪಡುತ್ತದೆ, ಆದರೆ ಕಾಣೆಯಾದ ಮಾರ್ಗವು ಹೊಂದಿಕೆಯಾಗುವ ನಮೂದು ಇಲ್ಲದ ಹುಡುಕಾಟ ವಿಫಲತೆಯನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ. ಕ್ಲೈಂಟ್‌ನ ಗಮ್ಯಸ್ಥಾನಕ್ಕಾಗಿ show route ಚಲಾಯಿಸಿ ಮತ್ತು ASA ನಿಜವಾಗಿ ಏನನ್ನು ಆಯ್ಕೆ ಮಾಡಿತು ಎಂಬುದನ್ನು ಓದಿ, ಡೀಫಾಲ್ಟ್ ಆಯ್ಕೆಯಾಯಿತೇ ಮತ್ತು ಯಾವುದು ಎಂಬುದೂ ಸೇರಿದಂತೆ.

ಟನೆಲ್ಡ್ ಹುಡುಕಾಟ ಹೇಗೆ ಭಿನ್ನ

Cisco ನ ASA 9.23 ಸ್ಥಿರ-ರೂಟಿಂಗ್ ಮಾರ್ಗದರ್ಶಿ ಯಾವುದೇ ಸ್ಥಿರ ಅಥವಾ ಕಲಿತ ಮಾರ್ಗವಿಲ್ಲದ ಡೀಕ್ರಿಪ್ಟ್ ಆದ VPN ಸಂಚಾರಕ್ಕೆ ಪ್ರತ್ಯೇಕ ಡೀಫಾಲ್ಟ್ ಅನ್ನು ದಾಖಲಿಸುತ್ತದೆ. tunneled ಕೀವರ್ಡ್ ಆ ಮಾರ್ಗವನ್ನು ಗುರುತಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಪ್ಯಾಕೆಟ್ ASA ತನ್ನದೇ ಸಾಗಣೆಗೆ ಬಳಸುವ ಮುಂದಿನ ಹಾಪ್‌ಗಿಂತ ಬೇರೆಯದಕ್ಕೆ ಬೀಳಬಹುದು. ಹೆಚ್ಚು ನಿರ್ದಿಷ್ಟ ಮಾರ್ಗಗಳು ಇನ್ನೂ ಗೆಲ್ಲುತ್ತವೆ, ಆದ್ದರಿಂದ ಕ್ಲೈಂಟ್ ಒಳಗಿನ ಗೇಟ್‌ವೇ ಮೂಲಕ 10.0.0.0/8 ತಲುಪಿ ಉಳಿದೆಲ್ಲವನ್ನೂ ಕಳೆದುಕೊಳ್ಳಬಹುದು.

ಕನಿಷ್ಠ ವಿನ್ಯಾಸವು ಬೇರೆ ಬೇರೆ ಮುಂದಿನ ಹಾಪ್‌ಗಳಿರುವ ಎರಡು ಡೀಫಾಲ್ಟ್‌ಗಳನ್ನು ಇಟ್ಟುಕೊಳ್ಳುತ್ತದೆ. ಒಂದು ASA ಯ ಸ್ವಂತ ಸಂಚಾರವನ್ನು ಒಯ್ಯುತ್ತದೆ, ಇನ್ನೊಂದು ಉತ್ತಮ ಮಾರ್ಗವಿಲ್ಲದ ಡೀಕ್ರಿಪ್ಟ್ ಆದ ಸಂಚಾರವನ್ನು ಒಯ್ಯುತ್ತದೆ. ಎರಡೂ ಮುಂದಿನ ಹಾಪ್‌ಗಳು ನೀವು ಅವನ್ನು ಜೋಡಿಸುವ ಇಂಟರ್ಫೇಸ್‌ನಿಂದ ತಲುಪಲು ಸಾಧ್ಯವಿರಬೇಕು.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

ಎರಡೂ ಡೀಫಾಲ್ಟ್‌ಗಳು ಒಂದೇ ಮುಂದಿನ ಹಾಪ್‌ಗೆ ತೋರಿಸಿದರೆ, ಕೀವರ್ಡ್ ಏನನ್ನೂ ಬದಲಿಸುವುದಿಲ್ಲ ಮತ್ತು ಲಕ್ಷಣ ಚಲಿಸುವುದಿಲ್ಲ.

ಅದು ಕೆಲಸ ಮಾಡುತ್ತದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸುವ ನಿರ್ಬಂಧಗಳು

ಅದೇ ಮಾರ್ಗದರ್ಶಿ ಒಂದೇ ಟನೆಲ್ಡ್ ಡೀಫಾಲ್ಟ್‌ಗೆ ಅವಕಾಶ ನೀಡುತ್ತದೆ ಮತ್ತು ಅದಕ್ಕೆ ECMP ಬೆಂಬಲವಿಲ್ಲ ಎಂದು ಹೇಳುತ್ತದೆ, ಆದ್ದರಿಂದ ಆ ಮಾರ್ಗದಲ್ಲಿ ಲೋಡ್-ಶೇರ್ ಮಾಡಲಾಗದು. ಮಾರ್ಗ ಟ್ರ್ಯಾಕಿಂಗ್, ರಿವರ್ಸ್-ಪಾತ್ ಪರಿಶೀಲನೆ ಮತ್ತು ಕೆಲವು ಇನ್‌ಸ್ಪೆಕ್ಷನ್ ಹಾಗೂ ನಿರ್ವಹಣಾ ಹರಿವುಗಳಿಗೆ ಸಂಬಂಧಿಸಿದ ನಿರ್ಬಂಧಗಳನ್ನೂ ಅದು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ. ವೈಶಿಷ್ಟ್ಯದ ಸುತ್ತ ವಿನ್ಯಾಸ ಮಾಡುವ ಮೊದಲು ನಿಮ್ಮ ಸ್ಥಾಪಿತ ರಿಲೀಸ್‌ಗೆ ಹೋಲಿಸಿ ಅವನ್ನು ಓದಿ. ಅವನ್ನು ನಿರ್ಲಕ್ಷಿಸುವ ವಿನ್ಯಾಸ ಸಾಮಾನ್ಯವಾಗಿ ಎಲ್ಲೆಡೆಯೂ ಅಲ್ಲ, ಒಂದು ನಿರ್ದಿಷ್ಟ ಜಾಗದಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಲಕ್ಷಣ ತಡೆದು ಬರುತ್ತಿರುವಂತೆ ಕಾಣುತ್ತದೆ.

ಅಸಮಪಾರ್ಶ್ವಕ ವಿನ್ಯಾಸಗಳಲ್ಲಿ ರಿವರ್ಸ್-ಪಾತ್ ಪರಿಶೀಲನೆಯೇ ಹೆಚ್ಚು ಕಚ್ಚುತ್ತದೆ. ಉತ್ತರವು ASA ನಿರೀಕ್ಷಿಸುವ ಇಂಟರ್ಫೇಸ್‌ಗಿಂತ ಬೇರೆ ಇಂಟರ್ಫೇಸ್ ಮೂಲಕ ಬರುವುದಾದರೆ, ರೂಟಿಂಗ್ ಮುಖ್ಯವಾಗುವ ಮೊದಲೇ ಪ್ಯಾಕೆಟ್ ಬಿಸಾಡಲ್ಪಡುತ್ತದೆ. ಪರಿಶೀಲನೆಯನ್ನು ಆಫ್ ಮಾಡಿ ಮುಂದಿನ ಹಾಪ್ ಒತ್ತಾಯಿಸುವ ಬದಲು ಟೋಪಾಲಜಿ ಅಥವಾ ಮರಳು ಮಾರ್ಗವನ್ನು ಸರಿಪಡಿಸಿ.

ಮಾರ್ಗ ಟ್ರ್ಯಾಕಿಂಗ್ ಪ್ರತ್ಯೇಕ ಬಲೆ: ಟ್ರ್ಯಾಕ್ ಮಾಡಿದ ಆಬ್ಜೆಕ್ಟ್ ಸಾಮಾನ್ಯವಾಗಿ ಸಾಮಾನ್ಯ ಡೀಫಾಲ್ಟ್ ಅನ್ನು ಕಾಯುತ್ತದೆ, ಟನೆಲ್ಡ್ ಅನ್ನಲ್ಲ.

ಕೀವರ್ಡ್ ಏನು ಮಾಡುವುದಿಲ್ಲ

ASA IKE ನಿರ್ಮಿಸಲು ಬಳಸುವ ಮೂಲ ವಿಳಾಸವನ್ನು ಅದು ಆಯ್ಕೆ ಮಾಡುವುದಿಲ್ಲ. ಟನೆಲ್‌ನ ಹೊರಗಿನ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಪ್ಲಾಟ್‌ಫಾರ್ಮ್‌ನದೇ ಇಂಟರ್ಫೇಸ್ ಮತ್ತು ಮೂಲ ಆಯ್ಕೆಯನ್ನು ಅನುಸರಿಸುತ್ತದೆ, ಮತ್ತು ಟನೆಲ್ಡ್ ಡೀಫಾಲ್ಟ್‌ಗೆ ಆ ನಿರ್ಣಯದಲ್ಲಿ ಪಾಲಿಲ್ಲ. ಅದನ್ನು ಬದಲಿಸಿದರೆ ತಪ್ಪು ವಿಳಾಸದಿಂದ ಬರುವ phase 1 ಸರಿಯಾಗದು.

ಮುಂದಿನ ಹಾಪ್ ಅನ್ನು ಅದು ಪ್ರಾಕ್ಸಿಯಾಗಿಯೂ ಮಾಡುವುದಿಲ್ಲ. ಗಮ್ಯಸ್ಥಾನವು HTTP CONNECT ವಿನಿಮಯವನ್ನು ನಿರೀಕ್ಷಿಸಿದರೆ, ಪ್ರಾಕ್ಸಿ ಹೋಸ್ಟ್‌ಗೆ ಕಚ್ಚಾ IP ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಕಳುಹಿಸುವುದು ಅವನ್ನು ರೂಟ್ ಮಾಡದ ಹೋಸ್ಟ್ ಅನ್ನು ಮಾತ್ರ ನೀಡುತ್ತದೆ. ಬದಲಾಗಿ ಕ್ಲೈಂಟ್ ಬೆಂಬಲಿಸುವ ಪ್ರಾಕ್ಸಿ ಕಾರ್ಯವಿಧಾನವನ್ನು ಸಂರಚಿಸಿ.

ಮತ್ತು ಅದು ಕೆಳಮುಖ ಫಾರ್ವರ್ಡಿಂಗ್ ಅನ್ನು ಸೃಷ್ಟಿಸುವುದಿಲ್ಲ. ನೀವು ತೋರಿಸುವ ಗೇಟ್‌ವೇಗೆ ಇನ್ನೂ VPN ಪೂಲ್‌ಗೆ ಮರಳುವ ಮಾರ್ಗ ಬೇಕು, ಜೊತೆಗೆ ವಿನ್ಯಾಸ ಬೇಡುವ ಕಡೆ ಮೂಲ ಅನುವಾದವೂ ಬೇಕು.

ಮಾರ್ಗವನ್ನು ತುದಿಯಿಂದ ತುದಿಗೆ ಪರಿಶೀಲಿಸಿ

ಮಾರ್ಗ ಜಾಗದಲ್ಲಿಟ್ಟ ನಂತರ ನಾಲ್ಕು ವಿಷಯಗಳನ್ನು ಕ್ರಮವಾಗಿ ಪರಿಶೀಲಿಸಿ: ಪೂಲ್‌ಗೆ ಬೇಕಾದ ಗಮ್ಯಸ್ಥಾನಕ್ಕಾಗಿ show route, ಹೊಸ ಮುಂದಿನ ಹಾಪ್ ಕಡೆಗಿನ ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ ಕ್ಯಾಪ್ಚರ್, ಗೇಟ್‌ವೇ ಮೇಲೆಯೇ ಕ್ಯಾಪ್ಚರ್, ಮತ್ತು ಆ ಗೇಟ್‌ವೇಯಿಂದ ಪೂಲ್ ವಿಳಾಸಕ್ಕೆ ಮರಳುವ ಮಾರ್ಗ. ಮೊದಲೆರಡು ASA ಆ ಮಾರ್ಗವನ್ನು ಆಯ್ಕೆ ಮಾಡಿತು ಎಂದು ಸಾಬೀತು ಮಾಡುತ್ತವೆ, ಕೊನೆಯೆರಡು ಅಲ್ಲಿ ಯಾರೋ ಉತ್ತರಿಸುತ್ತಿದ್ದಾರೆ ಎಂದು ಸಾಬೀತು ಮಾಡುತ್ತವೆ.

ಗೇಟ್‌ವೇ ಉತ್ತರಿಸುತ್ತದೆ ಆದರೆ ಕ್ಲೈಂಟ್ ಯಾವತ್ತೂ ಉತ್ತರವನ್ನು ಕಾಣದಿದ್ದರೆ, ರೂಟ್ ಟೇಬಲ್ ಮತ್ತೆ ಮುಟ್ಟುವ ಮೊದಲು ಮೂಲ ಅನುವಾದ ಮತ್ತು ಮರಳು ಮಾರ್ಗವನ್ನು ನೋಡಿ.

ನೀವು ಪರಿಶೀಲಿಸಿದ ರಿಲೀಸ್ ಅನ್ನು ದಾಖಲಿಸಿ, ಏಕೆಂದರೆ ನಿರ್ಬಂಧಗಳ ಪಟ್ಟಿ ಆವೃತ್ತಿ-ನಿರ್ದಿಷ್ಟವಾಗಿದೆ ಮತ್ತು ಒಂದು ಟ್ರೇನ್‌ನಲ್ಲಿ ಕೆಲಸ ಮಾಡುವ ವಿನ್ಯಾಸಕ್ಕೆ ಇನ್ನೊಂದರಲ್ಲಿ ಬೇರೆ ಮಾರ್ಗ ಬೇಕಾಗಬಹುದು. ಆ ಟಿಪ್ಪಣಿ ಸಂರಚನಾ ತುಣುಕಿಗಿಂತ ಹೆಚ್ಚು ಕಾಲ ಉಳಿಯುತ್ತದೆ.