Cisco ASA į Azure VPN: srauto selektoriaus prefiksų poros

Tunelis pakyla, IKE atrodo sveikas, o per jį niekas neina. Tai įprasta ASA–Azure selektoriaus problemos forma, todėl sutartį rašau prieš liesdamas bet kurią konsolę. Sutartis yra keturi dalykai: objektai, identifikuojantys kiekvieną peer, ryšio modelis, tikslios prefiksų poros ir patikra, įrodanti kiekvieną porą. Suklyskite čia, ir kiekviena vėlesnė komanda derins konfigūraciją, kurios neturėjote statyti. Šis vadovas – tvarka, kurią naudoju, su komandomis, parodančiomis, kuris objektas iš tikrųjų neteisingas.

Prieš konfigūruodami užrašykite keturis objektus

Pradėkite nuo ASA leidimo ir platformos, viešojo endpointo, Azure VPN gateway tipo ir SKU bei vietinio tinklo gateway, atstovaujančio jūsų pusei. Šie keturi pavadinimai yra viso to, kas seka, žodynas, ir kiekvienas turi skirtingą savininką, kai kas nors sugenda.

Jei du iš jų vis dar spėjimai, sustokite. Neteisingas vietinio tinklo gateway prefiksų sąrašas nėra derinimo problema.

Pasirinkite vieną ryšio modelį ir nustokite maišyti šablonus

crypto map dizainas ir tunnel interface dizainas yra skirtingos konfigūracijos, o vieno šablonas netampa galiojantis kitam pakeitus peer adresą. Užsirašykite, kurią statote, prieš ką nors įklijuodami, nes neatitikimas vėliau pasirodo kaip selektoriaus problema, o ne konfigūracijos klaida. Microsoft ASA sąveikos vadovas apima abu modelius ir nurodo, kokį Azure gateway modelį kiekvienas numato. Jei jūsų užrašuose modelis nepavadintas, dizaino dar nėra.

Maršrutu pagrįstas Azure gateway su politika pagrįstais srauto selektoriais yra konkreti dokumentuota parinktis, o ne numatytoji. Jei jūsų dizainas nuo jos priklauso, dizainas turi tai pasakyti, nes numatytasis maršruto selektoriaus modelis Azure pusėje elgiasi kitaip.

Versijų apribojimai taip pat priklauso sutarčiai. Senas lauko pranešimas apie šifravimo domenų ribą yra duomuo apie konkrečius leidimus, o ne nuolatinė kiekvieno ASA savybė.

Išvardykite prefiksų poras, o ne agregatus

Parašykite matricą. Iš vietinių A ir B į Azure X ir Y yra keturios poros, ir kiekvienai reikia aprėpties arba aiškaus išskyrimo. Sujungus A ir B į vieną agregatą įtraukiama ir tai, kas tarp jų, ir taip dizainas tyliai išaugina skylę.

Tikrinkite, dėl ko susitarė peer, o ne ką išsaugojote. Vietinių ir nuotolinių tinklų sąrašas ASA yra ketinimas; CHILD SA yra rezultatas.

Kai poros trūksta, pataisa paprastai yra access-list eilutė arba selektoriaus įrašas, o ne naujas tunelis.

Tikrinkite komandomis, kurios įvardija objektą

ASA patvirtinkite IKE sesiją, tada IPsec SA, tada selektoriaus poras. Kiekviena komanda atsako į kitą klausimą, o paleidus tik pirmąją „tunelis pakilo“ tampa klaidinga išvada. Skatykite išvestį tam peer, kurį tikrai konfigūravote, o ne tam SA, kuris sąraše pirmas. Azure pusė atsako į tuos pačius tris klausimus savo požiūriu.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Tada paklauskite Azure apie ryšio būseną su az network vpn-connection show --name <connection> --query connectionStatus. Prijungta su nuliu baitų duomenų kelyje yra selektoriaus, o ne maršrutizavimo problema.

Išbandykite vieną leidžiamą srautą kiekvienai porai, patikrinkite šaltinio adresą, matomą kitoje pusėje, ir išbandykite vieną išteklių, kuris turėtų būti atmestas. Tik šis paskutinis testas įrodo, kad riba dar egzistuoja.

Laikykite šifravimo apimtį atskirai nuo prieigos leidimo

Platus selektorius nėra leidimas. Jei palaikomas išdėstymas platesnis už programos politiką, siauras paslaugas palikite firewall taisyklėse, o šifravimo apimtį ten, kur ji turi būti.

Azure darbinių krovinių maršrutai ir vietiniai grąžinimo maršrutai peržiūrimi atskirai. BGP skelbimai, statinė tinklo apimtis ir vartotojo apibrėžti maršrutai turi apibūdinti tą patį kelią, ir nė vienas negali rekursyviai užgrobti peer transporto.

Atsukimas ir įrodymas, kad jis suveikė

Prieš keisdami selektorius išsaugokite ankstesnę veikiančią konfigūraciją ir žinokite vieną komandą, kuri ją grąžina. ASA tai reiškia išsaugotą kopiją ir atitinkamą atkūrimo kelią, o ne atsiminimą, ką redagavote. Įrašykite atkūrimo komandą į pakeitimo bilietą, kol pakeitimas dar hipotetinis. Tada dar kartą paleiskite tuos pačius tris patikrinimus: IKE būsena, IPsec SA poros, vienas leidžiamas srautas kiekvienai porai.

Jei pora vis tiek nepavyksta po atkūrimo, pakeitimas nebuvo priežastis, ir ką tik sutaupėte sau antrą gedimą.