Kaip modeliuoti VPN srautą naudojant ASA packet-tracer

Packet-tracer ASA įrenginyje atsako į siaurą klausimą: ar šis paketas, įeinantis čia su šiuo tuple, būtų leidžiamas, ir kur jis eitų. Jis neatsako, ar tolimasis galas ką nors gauna. Įprasta klaida – pateikti išorinį IKE tuple, kai tai, ką norite išbandyti, yra programa, keliaujanti tunelio viduje. Pirmiausia pataisykite tuple, perskaitykite fazes, o tada surinkite tikrus įrodymus viskam, ko simuliatorius nemato.

Toliau pateikta apžvalga daro prielaidą, kad ACL, NAT taisyklė ir tunnel-group kontekstas yra priešais jus. Be jų išvestis aprašo politiką, kurios negalite patikrinti.

1 žingsnis: parašykite vidinį srautą paprastais žodžiais

Aprašykite programą prieš ką nors įvesdami. Vidinio tinklo hostas, atidarantis SSH į serverį už tolimojo šliuzo, yra vienas vidinis TCP srautas su konkrečiu šaltinio portu. Tai srautas, kurį vertina ACL ir VPN filtras, taigi tai srautas, kurį įvedate.

Parašykite jį kaip sakinį, tada išverskite laukas po lauko:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

2 žingsnis: pasirinkite įėjimo sąsają ir kryptį

Įėjimas yra sąsaja, kuria paketas atvyksta, o ne ta, kuria išvyksta. LAN hostui, kuris inicijuoja, tai inside sąsaja. Tos pačios sesijos grįžtančiam paketui tai outside sąsaja, o tuple apsiverčia. Įrašyti paskirties vietą kaip šaltinį yra antras dažniausias būdas gauti įtikinamą, bet nereikšmingą ALLOW.

Portai taip pat turi kryptį. Paslaugos portas priklauso paskirties laukui inicijuotai užklausai, o kliento efemeriškasis portas priklauso šaltinio laukui. Modelis su TCP paskirtimi 500 aprašo TCP programą, kuri klausosi 500; ji netampa IKE testu vien todėl, kad skaičius pasirodo komandoje.

3 žingsnis: skaitykite fazes iš eilės

Kiekviena išvesties fazė yra sprendimas su savininku: maršruto paieška, ACL, NAT, tada VPN arba tunelio pasirinkimas. Skaitykite jas spausdinta tvarka ir sustokite prie pirmos fazės, kuri nesutampa su projektu.

NAT dažnai apgauna žmones. Jei išverstas šaltinis patenka už crypto ACL, kuris parenka srautą tuneliui, srautas gali būti leidžiamas ir niekada neįkapsuliuotas. Sekimas atspausdina išverstą adresą, todėl lyginkite jį su įdomiu tunelio srautu, o ne su pradiniu adresu.

4 žingsnis: patikrinkite, kokius apėjimus pasirinkote

Forma detailed priima parinktis, kurios praleidžia patikras, o Cisco dokumentuoja bypass-checks parinktį, apimančią ACL, VPN filtrą, uRPF ir IPsec apsimetimo patikras. ALLOW, gautas su jomis praleistomis, sako, kad maršrutas ir NAT veiktų, o ne kad politika priimtų tikrą paketą. Užrašykite parinktis šalia rezultato.

Jei jums reikia politikos atsakymo, vykdykite be apėjimų. Jei izoliuojate maršruto klausimą, vykdykite su jais ir pažymėkite rezultatą kaip maršruto atsakymą.

5 žingsnis: uždarykite spragą tikru pasikeitimu

Simuliuotas leidimas sustoja ties ASA. Ar tolimasis šliuzas iššifravo paketą, ar serveris priėmė ryšį ir ar grįžo atsakymas, yra atskiri stebėjimai. Naudokite galinių taškų skaitiklius arba siaurą įrašymą patvirtintame kelyje.

Kai kurios trace ir replay parinktys perduoda paketus arba išsaugo būseną. Vykitės dokumentuoto elgesio savo leidimui ir patvirtintai diagnostikos procedūrai, o ne traktuokite kiekvieną variantą kaip tik skaitymo paiešką.

Ko sekimas vis dar negali pasakyti

Laikykite keturis dalykus vienoje pastaboje: tuple, atitinkančią NAT taisyklę, tunelį arba politiką, kuri turėtų nešti srautą, ir nuo krypties priklausantį stebėjimą. Be jų vėlesnis inžinierius negali atskirti vietinio politikos sprendimo nuo nusistovėjusios valdymo plokštumos ir nuo veikiančios paslaugos. Pirmoji nesėkmė, po kurios seka sėkmė, taip pat neįrodo, kad tunelis turėjo kilti tarp jų; užrašykite fazę ir būsenos pasikeitimą.

Pradėkite nuo vidinio tuple, sustokite prie pirmos fazės, kuri prieštarauja projektui, ir tik tada siekite galinių taškų įrodymų. Sekimas yra politikos orakulas, o ne pristatymo kvitas.