Cisco ASA op Azure VPN: Präfixpuer vum Traffic Selector

Den Tunnel kënnt erop, IKE gesäit gesond aus, an et geet näischt duerch. Dat ass déi gewéinlech Form vun engem ASA-op-Azure-Selectorproblem, an dofir schreiwen ech de Kontrakt, ier ech eng vun den zwou Konsolen ufassen. De Kontrakt besteet aus véier Saachen: d’Objeten, déi all Peer identifizéieren, d’Verbindungsmodell, déi exakt Präfixpuer an d’Verifikatioun, déi all Puer beweist. Maacht dës falsch, an all spéider Kommando debuggt eng Konfiguratioun, déi Dir net hätt misste bauen. Dëst Runbook ass d’Reiefolleg, déi ech benotzen, mat de Kommanden, déi weisen, wéi en Objet tatsächlech falsch ass.

Schreift déi véier Objeten op, ier Dir konfiguréiert

Fänkt mat der ASA-Release an -Plattform, dem ëffentlechen Endpunkt, dem Azure VPN Gateway Typ a SKU an dem lokale Netzwerk-Gateway un, dee Är Säit duerstellt. Dës véier Nimm sinn de Vokabulär fir alles, wat duerno kënnt, an all eenzel huet en aneren Eegentümer, wann eppes briechen geet.

Wann zwee vun hinnen nach Vermutungen sinn, stoppt. Eng falsch Präfixlëscht um lokale Netzwerk-Gateway ass kee Tuningproblem.

Wielt ee Verbindungsmodell a stopp d’Vermësche vu Schablounen

Eng crypto-map-Design an eng tunnel-interface-Design sinn ënnerschiddlech Konfiguratiounen, an eng Schabloun fir déi eng gëtt net gülteg fir déi aner, just well een d’Peeradress ännert. Hält fest, wat Dir baut, ier Dir eppes paste, well d’Diskrepanz duerno als Selectorproblem optrëtt an net als Konfiguratiounsfehler. Dem Microsoft seng ASA-Interoperabilitéitsguide deckt béid Musteren of a seet, wat fir en Azure-Gatewaymodell all eenzel agëtt. Wann Är Notizen de Modell net nennen, hutt Dir nach keen Design.

En route-baséierten Azure-Gateway mat policy-baséierten Traffic Selectoren ass eng spezifesch dokumentéiert Optioun, net de Standard. Wann Är Design dovun ofhänkt, muss d’Design et soen, well de Standard-Route-Selectormodell op der Azure-Säit anescht verhält.

Versiounslimiten gehéieren och an de Kontrakt. En ale Feldsrapport iwwer eng Kapazitéit vu Verschlësselungsdomänen ass en Datenpunkt iwwer bestëmmte Releasen, net eng permanent Eegenschaft vun all ASA.

Zielt d’Präfixpuer op, net d’Aggregater

Schreift d’Matrix. On-Premises A a B op Azure X an Y sinn véier Puer, an all eenzel brauch Ofdeckung oder eng explizit Ausgrenzung. A a B zu engem Aggregat zesummenzeleeën enthält och alles, wat tëscht hinne läit, an esou wuesse beim Design lues e Lach.

Kuckt, wat d’Peeren ausgehandelt hunn, an net wat Dir gespäichert hutt. D’Lëscht vun lokalen an remote Netzwierker op der ASA ass d’Intentioun; d’CHILD SA sinn d’Resultat.

Wann e Puer feelt, ass d’Korrektur meeschtens eng access-list-Zeil oder en Selector-Antré, net en neien Tunnel.

Verifizéiert mat Kommanden, déi den Objet nennen

Op der ASA bestätegt Dir d’IKE-Sessioun, dann d’IPsec SA, dann d’Selectorpuer. All Kommando beäntwert eng aner Fro, an nëmmen déi éischt auszeféieren ass de Wee, wéi «den Tunnel ass erop» eng falsch Schlussfolgerung gëtt. Liest d’Ausgab fir de Peer, deen Dir tatsächlech konfiguréiert hutt, an net fir deen SA, deen an der Lëscht just als éischten optrëtt. D’Azure-Säit beäntwert déi selwecht dräi Froen aus hirem eegene Bléckwinkel.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Dann frot Azure no dem Verbindungsstatus mat az network vpn-connection show --name <connection> --query connectionStatus. Verbonnen mat null Byte am Datenpad ass e Selectorproblem, kee Routingproblem.

Test eng erlaabte Flux pro Puer, kuckt d’Quelladress op der Géigesäit an a probéiert eng Ressource, déi net sollt erlaabt sinn. Nëmmen dee leschten Test beweist, datt d’Grenz nach existéiert.

Halt de Verschlësselungsberäich getrennt vun der Zougangserlaabnis

En breeden Selector ass keng Erlaabnis. Wann de Layout méi breet ass wéi d’Applikatiounspolitik, hält déi eng Servicer an de Firewallregelen a loosst de Verschlësselungsberäich do, wou en muss sinn.

Azure-Workloadrouten an On-Premises-Retourrouten ginn getrennt iwwerpréift. BGP-Annoncen, statesch Netzberäich an benotzerdefinéiert Routen mussen dee selwechte Wee beschreiwen, an keng vun hinnen däerf den Transport vum Peer rekursiv erfassen.

Rollback an de Beweis, datt et fonctionnéiert huet

Halt déi viregt lafend Konfiguratioun, ier Dir d’Selectoren ännert, a kennt dee een Kommando, deen se zrécksetzt. Op der ASA heescht dat eng gespäicherte Kopie an de passenden Restorewee, net d’Erënnerung drun, wat Dir geännert hutt. Schreift de Restorekommando an den Ännerungsticket, iwwerdeems d’Ännerung nach hypothetesch ass. Duerno laus de selwecht dräi Kontrollen nach eng Kéier: IKE-Status, IPsec-SA-Puer, eng erlaabte Flux pro Puer.

Wann e Puer nom Restore nach ëmmer feelt, war d’Ännerung net d’Ursaach, an Dir hutt Iech just en zweeten Ausfall gespuert.