Cisco ASA tunneled Standardroute: wéini se wierklech gëllt

E Remote-Access-Benotzer erreecht näischt hannert der ASA, während dee selwechte Server Ping aus dem internen LAN beäntwert. Den Tunnel kënnt erop, de Client kritt eng Adress aus dem Pool, an de Pak verléisst trotzdem iwwer d'Internet-Standardroute oder verschwënnt. Dëse Muster heescht normalerweis, datt den decryptéierten Traffic keng eegen Route fonnt huet an op déi gewéinlech Standardroute gefall ass. D'Korrektur ass keng aner NAT-Regel; et ass d'tunneled Standardroute.

Fänkt mam Symptom un, net mat der Konfiguratioun

Kuckt wou de Pak higeet, net wou dir erwaart hutt datt en higeet. Eng Capture op der baussenzeger Interface während enger gescheiterter Sessioun weist de decryptéierte Pak op dem Wee Richtung ISP-Gateway, mat der Pooladress nach intakt, oder weist guer näischt, well d'Recherche gescheitert ass. Esou oder esou ass den Tunnel net d'Problem.

Den Tunnel gesäit gesond aus an show vpn-sessiondb, an genau dowéinst debuggen d'Leit weider un IKE.

Wat dëst vun engem ACL-Drop ënnerscheet, ass d'Richtung. En ACL-Drop gëtt geloggt a gezielt, während eng fehlend Route eng Recherchefeeler ouni passenden Aschlag produzéiert. Fuert show route fir d'Zil vum Client aus a liest, wat d'ASA tatsächlech ausgewielt huet, och ob eng Standardroute gewielt gouf a wéi eng.

Wéi d'tunneled Recherche sech ënnerscheet

Dem Cisco säin Leitfaden fir statesch Routing op der ASA 9.23 dokumentéiert eng separat Standardroute fir decryptéierten VPN-Traffic ouni statesch oder geléiert Route. D'tunneled-Schlësselwuert markéiert déi Route, sou datt en decryptéierte Pak op en aneren nächsten Hop zeréckfale kann wéi deen, deen d'ASA fir hirem eegenen Transport benotzt. Spezifesch Route gewannen nach ëmmer, an dowéinst kann e Client iwwer den internen Gateway 10.0.0.0/8 erreechen an alles anescht verléieren.

Eng minimal Anlag behält zwou Standardroute mat verschiddenen nächsten Hoppen. Eng dréit den eegenen Traffic vun der ASA, déi aner den decryptéierten Traffic ouni besser Route. Béid nächsten Hoppe musse vun der Interface aus erreechbar sinn, un déi dir se ukoppelt.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Wann déi zwou Standardroute op dee selwechten nächsten Hop weisen, ännert d'Schlësselwuert näischt an d'Symptom wäert sech net beweegen.

D'Aschränkungen, déi entscheeden ob et funktionnéiert

Deem selwechte Leitfaden erlaabt nëmmen eng tunneled Standardroute a seet, datt ECMP dofir net ënnerstëtzt gëtt, also kënnt dir dee Wee net opdeelen. Hie listet och Aschränkungen op, déi d'Route-Tracking, d'Réckwee-Verifikatioun an e puer Inspektiouns- a Management-Flëss betreffen. Liest se am Verglach mat Ärer installéierter Release, ier dir ronderëm dës Funktioun plangt. En Design, deen se ignoréiert, scheitert meeschtens op enger bestëmmter Plaz an net iwwerall, an dowéinst gesäit d'Symptom intermitent aus.

D'Réckwee-Verifikatioun ass déi, déi an asymmetreschen Designen bäisst. Wann d'Äntwert iwwer eng aner Interface ukomm wier wéi d'ASA erwaart, gëtt de Pak verworf, éier Routing nach eng Roll spillt. Flësst d'Topologie oder de Réckwee, amplaz d'Verifikatioun auszeschalten, fir en nächsten Hop ze forcéieren.

Route-Tracking ass eng separat Falle: dat iwwerwaacht Objet schützt meeschtens déi gewéinlech Standardroute, net déi tunneled.

Wat d'Schlësselwuert net mécht

Et wielt net d'Quelladress, déi d'ASA fir den Opbau vun IKE benotzt. Den baussenzege Tunnelendpunkt follegt der Interface- a Quellselektioun vun der Plattform selwer, an d'tunneled Standardroute huet keen Deel un där Entscheedung. Se änneren reparéiert keng phase 1, déi vun enger falscher Adress aus geet.

Et mécht den nächsten Hop och net zu engem Proxy. Wann d'Zil en HTTP CONNECT-Austausch erwaart, gëtt dir d'Senden vu puren IP-Paketen un e Proxyhost just en Host, deen se net routet. Konfiguréiert amplaz de Proxy-Mechanismus, deen de Client ënnerstëtzt.

An et schaaft keng Weiderleitung no ënnen. Den Gateway, op deen dir weist, brauch nach ëmmer eng Route zréck an de VPN-Pool, plus Quelltranslatatioun do wou den Design et verlaangt.

Verifizéiert de Wee vum Ufank bis zum Enn

No deem d'Route gesat ass, préift véier Saachen der Rei no: show route fir en Zil, dat de Pool brauch, eng Capture op der Interface Richtung neien nächsten Hop, eng Capture um Gateway selwer, an e Réckwee vun deem Gateway bis op d'Pooladress. Déi éischt zwou beweise, datt d'ASA dee Wee gewielt huet, an déi lescht zwou, datt een drop äntwert.

Wann de Gateway äntwert, awer de Client ni eng Äntwert gesäit, kuckt d'Quelltranslatatioun an de Réckwee un, ier dir d'Routentabell nach eng Kéier beréiert.

Halt fest, op wéi enger Release dir validéiert hutt, well d'Lëscht vun den Aschränkungen versionsspezifesch ass an en Design, deen op enger Linn funktionnéiert, op enger anerer en anere Wee brauche kann. Dës Notiz lieft méi laang wéi de Konfiguratiounssnippel.