Cisco ASA tunelinis numatytasis maršrutas: kada jis iš tikrųjų taikomas

Nuotolinės prieigos vartotojas nieko nepasiekia už ASA, nors tas pats serveris atsako į ping iš vidinio LAN. Tunelis pakyla, klientas gauna adresą iš pool, o paketas vis tiek išeina per interneto numatytąjį maršrutą arba dingsta. Toks modelis paprastai reiškia, kad iššifruotas srautas nerado savo maršruto ir nukrito į įprastą numatytąjį. Pataisymas nėra dar viena NAT taisyklė; tai tunelinis numatytasis maršrutas.

Pradėkite nuo simptomo, o ne nuo konfigūracijos

Stebėkite, kur paketas eina, o ne kur tikėjotės, kad jis eis. Užfiksuotas srautas išoriniame sąsajame per nepavykusią sesiją rodo iššifruotą paketą, einantį link ISP gateway su dar nepažeistu pool adresu, arba nerodo nieko, nes paieška nepavyko. Abiem atvejais tunelis nėra problema.

show vpn-sessiondb tunelis atrodo sveikas, ir būtent todėl žmonės vis dar derina IKE.

Nuo ACL numetimo tai skiria kryptis. ACL numetimas registruojamas ir skaičiuojamas, o trūkstamas maršrutas sukelia paieškos klaidą be atitinkančio įrašo. Paleiskite show route kliento paskirties vietai ir perskaitykite, ką ASA iš tikrųjų pasirinko, įskaitant tai, ar buvo pasirinktas numatytasis maršrutas ir kuris.

Kuo tunelinė paieška skiriasi

Cisco ASA 9.23 statinio maršrutizavimo vadove dokumentuojamas atskiras numatytasis maršrutas iššifruotam VPN srautui, kuris neturi statinio ar išmokto maršruto. tunneled raktinis žodis žymi tą maršrutą, todėl iššifruotas paketas gali nukristi į kitą šuolį, nei tas, kurį ASA naudoja savo transportui. Konkretesni maršrutai vis tiek laimi, todėl klientas gali pasiekti 10.0.0.0/8 per vidinį gateway ir prarasti visa kita.

Minimali konfigūracija laiko du numatytuosius maršrutus su skirtingais kitais šuoliais. Vienas neša pačios ASA srautą, kitas – iššifruotą srautą, kuris neturi geresnio maršruto. Abu kiti šuoliai vis tiek turi būti pasiekiami iš sąsajos, prie kurios juos prijungiate.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Jei abu numatytieji maršrutai rodo į tą patį kitą šuolį, raktinis žodis nieko nekeičia ir simptomas nepajudės.

Apribojimai, lemiantys, ar tai veiks

Tame pačiame vadove leidžiamas tik vienas tunelinis numatytasis maršrutas ir nurodoma, kad ECMP jam nepalaikomas, tad negalite paskirstyti apkrovos tuo keliu. Jame taip pat išvardyti apribojimai, susiję su maršrutų sekimu, atvirkštinio kelio tikrinimu ir kai kuriais inspekcijos bei valdymo srautais. Perskaitykite juos atsižvelgdami į įdiegtą leidimą, prieš projektuodami pagal šią funkciją. Apribojimų nepaisantis sprendimas paprastai nepavyksta vienoje konkrečioje vietoje, o ne visur, todėl simptomas atrodo su pertrūkiais.

Atvirkštinio kelio tikrinimas yra tas, kuris kandžiojasi asimetriniuose sprendimuose. Jei atsakymas atvyktų per kitą sąsają nei tikisi ASA, paketas išmetamas dar prieš tai, kai maršrutizavimas tampa svarbus. Taisykite topologiją arba grįžtamąjį kelią, o ne išjunkite tikrinimą, kad priverstumėte kitą šuolį.

Maršrutų sekimas yra atskiri spąstai: sekamas objektas paprastai saugo įprastą numatytąjį maršrutą, o ne tunelinį.

Ko raktinis žodis nedaro

Jis nepasirenka šaltinio adreso, kurį ASA naudoja IKE kurti. Išorinis tunelio galinis taškas vadovaujasi pačios platformos sąsajos ir šaltinio parinkimu, o tunelinis numatytasis maršrutas tame sprendime nedalyvauja. Jį pakeitus nebus sutaisytas phase 1, kuris prasideda nuo neteisingo adreso.

Jis taip pat nepaverčia kito šuolio proxy. Jei paskirties vieta tikisi HTTP CONNECT mainų, neapdorotų IP paketų siuntimas proxy hostui duoda tik hostą, kuris jų nemaršrutizuoja. Vietoj to sukonfigūruokite kliento palaikomą proxy mechanizmą.

Ir jis nesukuria tolesnio persiuntimo. Gateway, į kurį nukreipiate, vis tiek reikia grįžtamojo maršruto į VPN pool, taip pat šaltinio vertimo ten, kur to reikalauja sprendimas.

Patikrinkite kelią nuo pradžios iki pabaigos

Kai maršrutas įdiegtas, iš eilės patikrinkite keturis dalykus: show route paskirties vietai, kurios reikia pool, užfiksavimą sąsajoje link naujo kito šuolio, užfiksavimą pačiame gateway ir grįžtamąjį kelią iš to gateway į pool adresą. Pirmieji du įrodo, kad ASA pasirinko tą kelią, o paskutiniai du – kad kažkas jame atsako.

Jei gateway atsako, bet klientas niekada nemato atsakymo, pažiūrėkite šaltinio vertimą ir grįžtamąjį maršrutą, prieš vėl liesdami maršrutų lentelę.

Užfiksuokite leidimą, kuriame tikrinote, nes apribojimų sąrašas priklauso nuo versijos, o sprendimas, veikiantis vienoje šakoje, kitoje gali reikalauti kito kelio. Ta pastaba išlieka ilgiau nei konfigūracijos iškarpa.