ASA-DHCP-Relay iwwer eng Site-to-Site-VPN: eng Schrëtt-fir-Schrëtt-Anleitung

De Relay schafft an dräi Etappen, a just déi mëttelst geheit d’VPN. E Client sendet e Broadcast am Filialsegment, den ASA mécht aus deem Broadcast eng Unicast-Ufro un den DHCP-Server, an de Server äntwert op d’Relay-Adress an net op de Client. Gitt d’Etappen an där Reihenfolg duerch, a meescht Fäll vun « de Relay ass futti » léise sech an eng fehlend Politik oder eng falsch geliest setroute-Linn op.

Etapp eent: de Relay op der clientsäiteger Interface aktivéieren

Op dem ASA vun der Filial ass de Relay eng Proprietéit vun der Interface, déi zu de Cliente kuckt. De Server kann global mat senger erreechbarer Interface deklaréiert ginn, oder ënner där clientsäiteger Interface, sou datt d’Routingtabelle den Ausgang wielt. Dës zwou Formen sinn net austauschbar, an déi falsch ze kopéieren ass déi éischt Plaz, wou eng Anleitung aus dem Grais geet.

Kuckt d’lafend Konfiguratioun un, ier Dir eppes ännert: wéi eng Interface de Relay aktiv huet, wéi eng Serverform present ass, an ob setroute un der Client-Interface hänkt. Wann den ASA och en DHCP-Server fir en anert Segment bedreift, stoppt a liest d’Limittëscht; Server a Relay kënnen net gläichzäiteg op der selwechter Këscht aktivéiert ginn.

De Relay setzt seng eege clientsäiteg Adress an d’Gateway-Adressfeld. Op déi Adress wäert de Server äntweren, dofir muss se vum wäitem Standuert iwwer den Tunnel erreechbar sinn, net nëmme lokal.

Etapp zwee: den ASA-generéierte Verkehr duerch den Tunnel droen

Dëst ass dee Schrëtt, dee Leit iwwersprangen. Eng policybaséiert Site-to-Site-VPN gëtt normalerweis fir de Verkehr tëschend Subnetzer gebaut, an d’Relay-Ufro gëtt vum ASA selwer generéiert. Wann d’Access-Lëscht vum Tunnel an d’Krypto-Kaart nëmme mat Flëss vum Filialhost an de Server-Subnet passen, kéint de Relay-Paket ni an den Tunnel kommen. Kuckt d’Access-Lëscht a béide Richtungen un, net nëmmen d’Linn vun der Filial op de Server.

Bestätegt, datt den interessanten Verkehr d’Relay-Quell vum ASA an d’Server-Adress deckt, an datt d’Richtung zréck och erlaabt ass. Bei engem VTI-baséierten Design ass d’Routingentscheedung méi einfach, awer d’Relay-Ënnerstëtzung iwwer VTI ass an enger bestëmmter Versioun komm; den DHCP-Guide vum ASA nennt 9.14(1), also kontrolléiert d’Image, ier Dir e VTI-Beispill op en eelere Gerät kopéiert.

E Ping vum ASA op de Server beweist vu sech aus wéineg. En kann iwwer en anere Wee geléngen, mat enger anerer Quelladress, oder ënner enger Politik, déi d’Pakete vum Relay net erfëllen.

Etapp dräi: d’Äntwert an d’setroute-Optioun liesen

RFC 2131 seet, datt de Server seng Äntwert op d’Adress am giaddr schéckt, wann dat Feld net null ass. Also muss de Wee zréck op d’Relay-Adress routen, an d’Tunnelpolitik muss d’Richtung vum Server op de Relay erlaben. Wann d’Ufro duerchgaangen ass, awer d’Ubidde ni ukënnt, ass hei d’Plaz fir nozekucken.

Dann trennt zwou Saachen, déi ähnlech kléngen. D’Schlësselwuert setroute ännert oder ergänzt d’Optioun vum Standardrouter, déi den ASA dem Client gëtt. Et installéiert keng Route um ASA an et mécht keng VPN-Politik. E Client, dee eng Adress kritt awer näischt erreecht, huet dacks e Problem mat setroute oder mam Ëmfang, net mat dem Tunnel. Testt dat mat engem Client ouni statesch Gateway a kuckt, wéi ee Standardrouter am Ubidde erschéngt.

Liest d’Ubidde vun Ufank bis Enn: ugebueden Adress, Mask, Standardrouter, DNS an Dauer vum Lease. Da loosst de Lease erneieren. E Relay, deen eemol funktionéiert a beim Erneiere feelt, huet meeschtens e Problem mam Ëmfang, mam Lease oder mam Wee zréck, dat den éischten Austausch verstoppt huet.

Wat ech préift, ier ech et als gefléckt bezeechnen

Fänkt beim Client un a fänkt de Broadcast, bestätegt dann, datt den ASA en mat senger eegener Adress als giaddr weidergeleet huet. Op der wäiter Säit bestätegt, datt de Server d’Ufro gesinn huet an en Ëmfang gewielt huet, dee bei d’Filial passt. Zréck an der Filial bestätegt, datt de Client d’Ubidde ugeholl huet an säi Gateway erreecht.

Wann eng Etapp stëll ass, kuckt déi entspriechend Politik oder Route un, amplaz nach eng Relay-Erklärung derbäizesetzen. D’Relay-Konfiguratioun ass meeschtens schonn richteg, wann een eskaléiert; d’Tunnelpolitik oder de Wee zréck ass dat, wat sech geännert huet.

Schreift déi dräi Etappen an de Verännerungsrekord: clientsäiteg Interface, VPN-Politik déi de Relay-Verkehr deckt, an de Wee zréck vum Server op giaddr. Dee Rekord mécht déi nächst Filial als widderhuelbar Aarbecht an net als Debugging-Sessioun. En seet och dem nächsten Ingenieur, wéi eng Kommandoausgab fir d’éischt gesammelt muss ginn.