Cisco ASA дан Azure VPN ге: трафик селекторунун префикс жуптары

Туннель көтөрүлөт, IKE соо көрүнөт, бирок андан эч нерсе өтпөйт. Бул ASA дан Azure ге чейинки селектор маселесинин кадимки көрүнүшү, ошондуктан эки консолдун бирине да тийүүдөн мурун келишим жазам. Келишим төрт нерседен турат: ар бир тарапты аныктаган объектилер, байланыш модели, так префикс жуптары жана ар бир жупту далилдеген текшерүү. Буларды ката кетирсеңиз, кийинки ар бир буйрук курууга тийиш эмес конфигурацияны оңдойт. Бул нускама — мен колдонгон тартип, кайсы объектинин чындап ката экенин көрсөткөн буйруктар менен.

Конфигурациялоодон мурун төрт объектини жазып алыңыз

ASA чыгарылышы жана платформасы, коомдук акыркы чекит, Azure VPN шлюзинин түрү жана SKU, жана сиздин тарапты билдирген жергиликтүү тармак шлюзинен баштаңыз. Бул төрт ат — кийинки бардык нерсенин сөздүгү, жана бир нерсе бузулганда ар биринин жооптуусу бөлөк.

Эгер алардын экөө дагы болжол болсо, токтогула. Жергиликтүү тармак шлюзинин туура эмес префикс тизмеси — жөндөө маселеси эмес.

Бир байланыш моделин тандап, шаблондорду аралаштырууну токтотуңуз

crypto map долбоору менен tunnel interface долбоору ар башка конфигурациялар, жана биринин шаблону каршы тараптын дарегин өзгөртүү менен экинчисине жарактуу болбойт. Бир нерсени чаптаардан мурун кайсынысын куруп жатканыңызды жазыңыз, анткени дал келбестик кийин конфигурация катасы эмес, селектор маселеси катары чыгат. Microsoftтун ASA шайкештик колдонмосу эки үлгүнү тең камтыйт жана кайсынысы кандай Azure шлюз моделине негизделгенин айтат. Эгер жазууларыңызда модель аталбаса, долбоор дагы жок.

Саясатка негизделген трафик селекторлору бар маршрутка негизделген Azure шлюзи — белгилүү документтелген вариант, демейки эмес. Эгер долбооруңуз ага көз каранды болсо, долбоор муну айтышы керек, анткени демейки маршруттук селектор модели Azure тарапта башкача жүрөт.

Версия чектөөлөрү да келишимге кирет. Шифрлоо домендеринин чеги тууралуу эски талаа отчёту — белгилүү чыгарылыштар тууралуу маалымат, ар бир ASAнын туруктуу касиети эмес.

Агрегаттарды эмес, префикс жуптарын тизмеле

Матрицаны жазыңыз. Жергиликтүү A жана B дан Azure X жана Y га — төрт жуп, жана ар бирине камтуу же ачык четтетүү керек. A жана B ны бир агрегатка бириктирүү алардын ортосундагыны да камтыйт, ошентсе долбоор байкалбай тешик өстүрөт.

Сактаганыңызды эмес, тараптар келишкенин текшериңиз. ASAдагы жергиликтүү жана алыскы тармактар тизмеси — ниет; CHILD SA — натыйжа.

Жуп жетишпесе, оңдоо адатта access-list сабы же селектор жазуусу, жаңы туннель эмес.

Объектини атаган буйруктар менен текшериңиз

ASAда IKE сессиясын, анан IPsec SAларды, анан селектор жуптарын ырастаңыз. Ар бир буйрук башка суроого жооп берет, жана биринчисин гана иштетүү «туннель көтөрүлдү» дегенди жалган тыянакка айландырат. Тизмедеги биринчи SA эмес, чындап конфигурациялаган тараптын чыгышын окуңуз. Azure тарабы ошол эле үч суроого өз көз карашынан жооп берет.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Анан Azureдан байланыш абалын az network vpn-connection show --name <connection> --query connectionStatus аркылуу сураңыз. Маалымат жолунда нөл байт менен «туташкан» — маршруттоо эмес, селектор маселеси.

Ар бир жуп үчүн бир уруксат берилген агымды сынап көрүңүз, каршы тарапта көрүнгөн баштапкы даректи текшериңиз жана тыюу салынышы керек бир ресурсту сынаңыз. Ошол акыркы сыноо гана чек ара дагы бар экенин далилдейт.

Шифрлоо аймагын кирүү уруксатынан өзүнчө кармаңыз

Кенен селектор — уруксат эмес. Эгер колдоого алынган жайгашуу колдонмо саясатынан кененирээк болсо, кууш кызматтарды firewall эрежелеринде калтырып, шифрлоо аймагын тийиштүү жерде калтырыңыз.

Azure жумуш жүктөмүнүн маршруттары жана жергиликтүү кайтаруу маршруттары өзүнчө каралат. BGP жарнамалары, статикалык тармак аймагы жана колдонуучу аныктаган маршруттар бир эле жолду сүрөттөшү керек, жана алардын эч бири каршы тараптын транспортун рекурсивдүү кармабашы керек.

Артка кайтаруу жана анын иштегенин далилдөө

Селекторлорду өзгөртүүдөн мурун мурунку иштеген конфигурацияны сактаңыз жана аны кайтарган бир буйрукту билиңиз. ASAда бул сакталган көчүрмө жана тиешелүү калыбына келтирүү жолу, эмнени өзгөрткөнүңүздүн эси эмес. Өзгөртүү дагы гипотетикалык кезде калыбына келтирүү буйругун өзгөртүү билетине жазыңыз. Анан ошол эле үч текшерүүнү кайра иштетиңиз: IKE абалы, IPsec SA жуптары, ар бир жуп үчүн бир уруксат берилген агым.

Эгер калыбына келтиргенден кийин жуп дагы иштебесе, өзгөртүү себеп эмес болчу, жана сиз экинчи тыныгуудан кутулдуңуз.