ASA packet-tracer менен VPN агышын кантип моделдөө керек

ASAдагы packet-tracer тар суроого жооп берет: бул пакет ушул жерден ушул tuple менен киргенде уруксат берилеби жана ал кайда барат. Ал алыскы тарап бир нерсе алабы, жокпу дегенге жооп бербейт. Көп кездешүүчү ката — туннелдин ичинде жүргөн колдонмону сынагыңыз келгенде сырткы IKE tuple берүү. Адегенде tupleди оңдоңуз, фазаларды окуңуз, анан симулятор көрө албаган нерселердин баарына чыныгы далил топтоңуз.

Төмөнкү баяндоо ACL, NAT эрежеси жана tunnel-group контексти алдыңызда деп эсептейт. Аларсыз чыгарылыш текшере албай турган саясатты сүрөттөйт.

1-кадам: ички агымды жөнөкөй сөздөр менен жазыңыз

Бир нерсе теринизден мурун колдонмону сүрөттөңүз. Ички хосттун алыскы шлюздун артындагы серверге SSH ачуусу — белгилүү бир булак порту бар бир ички TCP агымы. ACL жана VPN фильтри баалай турган агым ушул, ошондуктан сиз тере турган агым да ушул.

Аны бир сүйлөм кылып жазыңыз, анан талаа-талаа которуңуз:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

2-кадам: кирүү интерфейсин жана багытты тандаңыз

Кирүү — пакет келген интерфейс, ал кеткен интерфейс эмес. Байланышты баштаган LAN хост үчүн бул inside интерфейси. Ошол сессиянын кайтарылыш пакети үчүн бул outside интерфейси жана tuple тескери айланат. Максатты булак катары жазуу — ишенимдүү, бирок тиешеси жок ALLOW алуунун экинчи эң кеңири тараган жолу.

Порттордун да багыты бар. Башталган сурамда кызмат порту максат талаасында, ал эми кардардын эфемердик порту булак талаасында болот. TCP максаты 500 болгон модель 500дө угуучу TCP колдонмосун сүрөттөйт; сан буйрукта көрүнгөнү үчүн ал IKE сынагына айланбайт.

3-кадам: фазаларды ирети менен окуңуз

Чыгарылыштагы ар бир фаза — ээси бар чечим: маршрут издөө, ACL, NAT, анан VPN же туннель тандоо. Аларды басылган ирети менен окуңуз жана долбоорго туура келбеген биринчи фазада токтоңуз.

NAT адамдарды көп адаштырат. Эгер которулган булак туннель үчүн трафикти тандагыч crypto ACLден тыш калса, агымга уруксат берилиши мүмкүн жана ал эч качан инкапсуляцияланбайт. Из которулган даректи басат, ошондуктан аны баштапкы дарек менен эмес, туннелдин кызыктуу трафиги менен салыштырыңыз.

4-кадам: кайсы айланып өтүүлөрдү тандаганыңызды текшериңиз

detailed формасы текшерүүлөрдү өткөрүп жиберүүчү опцияларды кабыл алат, ал эми Cisco ACL, VPN фильтри, uRPF жана IPsec жасалма текшерүүлөрүн камтыган bypass-checks опциясын документтештирет. Аларды айланып өтүп алынган ALLOW маршрут менен NAT иштейт деп айтат, саясат чыныгы пакетти кабыл алат дегенди эмес. Опцияларды жыйынтыктын жанына жазыңыз.

Эгер саясат жообу керек болсо, айланып өтүүлөрсүз иштетиңиз. Маршруттоо суроосун бөлүп жатсаңыз, алар менен иштетиңиз жана жыйынтыкты маршруттоо жообу деп белгилеңиз.

5-кадам: ажырымды чыныгы алмашуу менен жабыңыз

Симуляцияланган уруксат ASAда токтойт. Алыскы шлюз пакетти чечтиби, сервер байланышты кабыл алдыбы жана жооп кайттыбы — булар өзүнчө байкоолор. Акыркы чекит эсептегичтерин колдонуңуз же бекитилген жолдо тар тартуу.

Айрым trace жана replay опциялары пакеттерди жөнөтөт же абалды сактайт. Ар бир вариантты окууга гана арналган издөө деп эсептөөнүн ордуна өз чыгарылышыңыз жана бекитилген диагностикалык процедураңыз үчүн документтелген жүрүм-турумду ээрчиңиз.

Из дагы эмнени айта албайт

Бир жазууда төрт нерсени сактаңыз: tuple, дал келген NAT эрежеси, агымды ташышы керек болгон туннель же саясат жана багытка мүнөздүү байкоо. Аларсыз кийинки инженер жергиликтүү саясат чечимин калыптанган башкаруу тегиздигинен жана иштеп жаткан кызматтан ажырата албайт. Биринчи ийгиликсиздиктен кийинки ийгилик да туннель ушул арада көтөрүлүшү керек эле деген далил эмес; фазаны жана абалдын өзгөрүшүн жазыңыз.

Ички tupleден баштаңыз, долбоорго каршы келген биринчи фазада токтоңуз жана ошондон кийин гана акыркы чекит далилдерине жүгүнүңүз. Из — саясаттын оракулу, жеткирүү дүмүрчөгү эмес.