Wéi ee VPN-Floss mat ASA packet-tracer modelléiert

Packet-tracer op enger ASA äntwert op eng schmuel Fro: géif dëse Pak, deen hei mat dëser Tuple erakënnt, erlaabt ginn, a wou géif en higoen. Et äntwert net ob de wäiten Enn eppes kritt. De gewéinleche Feeler ass eng baussenzeg IKE-Tuple ze fidderen, wann d'Ding, dat Dir wëllt testen, d'Applikatioun ass, déi am Tunnel fiert. Korrigéiert d'éischt d'Tuple, liest d'Phasen, a sammelt dann richteg Beweiser fir alles, wat de Simulator net gesäit.

Dëse Walkthrough ënnerstellt, datt d'ACL, d'NAT-Reegel an den tunnel-group-Kontext virun Iech leien. Ouni si beschreift d'Ausgab eng Politik, déi Dir net kontrolléiere kënnt.

Schrëtt 1: schreift de bannenzege Floss a einfache Wierder

Beschreift d'Applikatioun, ier Dir eppes tippt. En Host dobannen, deen SSH zu engem Server hannert dem wäite Gateway opmécht, ass ee bannenzege TCP-Floss mat engem bestëmmten Quellport. Dat ass de Floss, deen d'ACL an de VPN-Filter bewäerten, also ass dat de Floss, deen Dir tippt.

Schreift en als Saz, a iwwersetzt en dann Feld fir Feld:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Schrëtt 2: wielt den Ingress an d'Richtung

Ingress ass d'Interface, op där de Pak ukommt, net déi, duerch déi en fortgeet. Fir en LAN-Host, deen ufänkt, ass et d'inside-Interface. Fir de Retourpak vun der selwechter Sessioun ass et d'outside-Interface, an d'Tuple dréit sech. D'Zil als Quell ze schreiwen ass déi zweet heefegst Manéier, en iwwerzeegend awer irrelevante ALLOW ze verdéngen.

Porte sinn och geriicht. De Serviceport gehéiert beim initiéierten Ufro an d'Zilfeld, an den ephemere Port vum Client gehéiert an d'Quellfeld. E Modell mat TCP-Zil 500 beschreift eng TCP-Applikatioun, déi op 500 lauschtert; et gëtt keen IKE-Test, just well d'Zuel am Kommando steet.

Schrëtt 3: liest d'Phasen der Rei no

All Phase an der Ausgab ass eng Entscheedung mat engem Besëtzer: Routesich, ACL, NAT, dann VPN- oder Tunnelauswiel. Liest se an der gedréckter Rei a stoppt bei der éischter Phase, déi net mam Design iwwereneen ass.

NAT erwëscht Leit. Wann d'iwwersat Quell baussen der crypto ACL fällt, déi den Traffic fir den Tunnel auswielt, kann de Floss erlaabt ginn an ni agekapselt ginn. Den Trace dréckt déi iwwersat Adress, also vergläicht se mat dem interessante Traffic vum Tunnel an net mat der ursprénglecher Adress.

Schrëtt 4: kontrolléiert, wéi eng Ëmwee Dir gewielt hutt

D'Form detailed hëlt Optiounen, déi Kontrollen iwwersprangen, a Cisco dokumentéiert eng bypass-checks-Optioun, déi ACL, VPN-Filter, uRPF an IPsec-Spoof-Kontrollen deckt. En ALLOW, deen domat kritt gëtt, seet, datt d'Route an NAT géifen funktionéieren, net datt d'Politik e richtege Pak géif erloossen. Notéiert d'Optiounen nieft dem Resultat.

Wann Dir d'Politikäntwert braucht, fuert et ouni d'Ëmwee aus. Wann Dir eng Routing-Fro isoléiert, fuert et mat hinnen aus a markéiert d'Resultat als Routing-Äntwert.

Schrëtt 5: schléisst d'Lück mam richtege Austausch

Eng simuléiert Genehmegung stopt op der ASA. Ob de wäite Gateway de Pak decidréiert huet, ob de Server d'Verbindung ugeholl huet an ob eng Äntwert zréckkënnt, sinn eenzel Observatiounen. Benotzt Endpunkt-Zähler oder eng schmuel Opnam op engem genehmegte Wee.

E puer Trace- an Replay-Optiounen iwwerdroen Päck oder halen de Staat. Follegt dem dokumentéierte Verhalen fir Är Versioun an Äert genehmegt Diagnosprozedur, amplaz all Variant als nëmme-Lies-Sich ze behandelen.

Wat den Trace nach ëmmer net ka soen

Halt véier Saachen an enger Notiz: d'Tuple, déi passend NAT-Reegel, den Tunnel oder d'Politik, déi de Floss soll droen, an d'Observatioun spezifesch fir d'Richtung. Ouni si kann en spéideren Ingenieur eng lokal Politikentscheedung net vun engem etabléierte Kontrollplang an vun engem funktionéierende Service trennen. En éischte Feeler, gefolgt vun engem Succès, ass och kee Beweis, datt den Tunnel tëschenduerch misst opkommen; notéiert d'Phase an d'Staatsännerung.

Fänkt mat der bannenzeger Tuple un, stoppt bei der éischter Phase, déi dem Design widdersprécht, a gräift eréischt dann no Endpunkt-Beweiser. Den Trace ass en Politik-Orakel, keen Zoustellungsempfang.