Cisco ASA tunneled демейки маршруту: ал качан чындап колдонулат

Аралыктан кирүү колдонуучусу ASAнын аркы тарабына эч нерсеге жете албайт, ал эми ошол эле сервер ички LANдан келген pingдерге жооп берет. Туннель көтөрүлөт, кардар poolдон дарек алат, бирок пакет дагы эле интернеттин демейки маршруту менен чыгып кетет же жоголот. Бул схема адатта чечмеленген трафик өз маршрутун таппай, кадимки демейкиге түшүп калганын билдирет. Оңдоо дагы бир NAT эрежеси эмес; оңдоо — tunneled демейки маршруту.

Конфигурациядан эмес, симптомдон баштаңыз

Пакеттин кайда баратканын караңыз, кайда барат деп күткөнүңүздү эмес. Ийгиликсиз сессия учурунда сырткы интерфейсте алынган capture чечмеленген пакеттин ISP шлюзүнө карай баратканын жана poolдун дареги бүтүн бойдон экенин көрсөтөт, же издөө ийгиликсиз болгондуктан эч нерсе көрсөтпөйт. Эки учурда тең туннель көйгөй эмес.

show vpn-sessiondb көрсөтүүсүндө туннель ден соолуктуу көрүнөт, ошондуктан адамдар IKEни debug кылууну уланта беришет.

Муну ACLден түшүрүүдөн айырмалап турган нерсе — багыт. ACLден түшүрүү журналга жазылып, эсептелет, ал эми жок маршрут тиешелүү жазуусу жок издөө катасын пайда кылат. Кардардын багыты үчүн show route иштетип, ASA чындыгында эмнени тандаганын окуңуз, анын ичинде демейки маршрут тандалдыбы жана кайсысы.

tunneled издөөсү эмнеси менен айырмаланат

Ciscoнун ASA 9.23 статикалык маршруттоо боюнча колдонмосу чечмеленген VPN трафиги үчүн өзүнчө демейки маршрутту сүрөттөйт, эгерде анда статикалык же үйрөнүлгөн маршрут жок болсо. tunneled ачкыч сөзү ошол маршрутту белгилейт, ошондуктан чечмеленген пакет ASA өз транспорту үчүн колдонгон кийинки хоптон башкасына түшүшү мүмкүн. Тактараак маршруттар баары бир жеңет, ошондуктан кардар ички шлюз аркылуу 10.0.0.0/8ге жетип, калганынын баарын жоготушу мүмкүн.

Эң аз конфигурация кийинки хоптору ар башка эки демейки маршрутту кармайт. Бири ASAнын өз трафигин, экинчиси жакшыраак маршруту жок чечмеленген трафикти ташыйт. Эки кийинки хоп тең сиз аларды туташтырган интерфейстен жеткиликтүү болушу керек.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Эгер эки демейки тең бир кийинки хопко көрсөтсө, ачкыч сөз эч нерсени өзгөртпөйт жана симптом да жылбайт.

Анын иштешин чечкен чектөөлөр

Ошол эле колдонмо бир гана tunneled демейки маршрутка жол берет жана ага ECMP колдоого алынбаганын айтат, ошондуктан ошол жолдо жүктү бөлүштүрө албайсыз. Ал ошондой эле маршруттарды көзөмөлдөө, кайтаруу жолун текшерүү жана айрым inspection менен башкаруу агымдарына тиешелүү чектөөлөрдү тизмелейт. Функциянын айланасында долбоорлоодон мурун аларды орнотулган releaseңизге салыштырып окуңуз. Аларды этибарга албаган долбоор адатта бардык жерде эмес, бир конкреттүү жерде ийгиликсиз болот, ошондуктан симптом үзгүлтүктүү болуп көрүнөт.

Асимметриялык долбоорлордо кайтаруу жолун текшерүү катуу тиет. Эгер жооп ASA күткөн интерфейстен башка интерфейс менен келсе, пакет маршруттоо маанилүү боло электе эле ыргытылат. Текшерүүнү өчүрүп кийинки хопту мажбурлоонун ордуна топологияны же кайтаруу жолун оңдоңуз.

Маршруттарды көзөмөлдөө өзүнчө тузак: көзөмөлдөнгөн объект адатта кадимки демейки маршрутту кайтарат, tunneledды эмес.

Ачкыч сөз эмнени кылбайт

Ал ASA IKE куруу үчүн колдонгон булак дарегин тандабайт. Туннелдин сырткы учтук чекити платформанын өз интерфейсин жана булак тандоосун ээрчийт, ал эми tunneled демейки маршруту бул чечимге катышпайт. Аны өзгөртүү туура эмес даректен башталган phase 1ди оңдобойт.

Ал кийинки хопту proxy кылып да койбойт. Эгер багыт HTTP CONNECT алмашуусун күтсө, proxy хостко чийки IP пакеттерди жөнөтүү сизге аларды маршруттабаган хост гана берет. Анын ордуна кардар колдогон proxy механизмин конфигурациялаңыз.

Жана ал ылдый жакка forwarding жаратпайт. Сиз көрсөткөн шлюзге дагы эле VPN poolго кайтуучу маршрут керек, кошумча долбоор талап кылган жерде булак дарегин которуу керек.

Жолду башынан аягына чейин текшериңиз

Маршрут ордуна койгондон кийин төрт нерсени ирети менен текшериңиз: poolго керек багыт үчүн show route, жаңы кийинки хопко карай интерфейсте capture, шлюздун өзүндө capture, жана ошол шлюздөн poolдун дарегине кайтуучу жол. Алгачкы экөө ASA ошол жолду тандаганын, акыркы экөө ал жерде кимдир бирөө жооп берип жатканын далилдейт.

Эгер шлюз жооп берсе, бирок кардар жоопту такыр көрбөсө, маршруттар таблицасына кайра тийүүдөн мурун булак которуусун жана кайтаруу маршрутун караңыз.

Сиз текшерген releaseди жазып алыңыз, анткени чектөөлөрдүн тизмеси версияга көз каранды жана бир тармакта иштеген долбоор башкасында башка жолду талап кылышы мүмкүн. Бул жазуу конфигурация үзүндүсүнөн узак жашайт.