VPN tarp svetainių veikia, bet ASA žurnalai neateina: patikrinkite šaltinio adresą

Vidiniai mazgai pasiekia nuotolinį rinktuvą ir jų syslog eilutės pasirodo. Pačios ASA žinutės apie tas pačias sesijas niekada neateina. Nei rinktuvas, nei tunelis neturi problemos, ir būtent tai klaidina. Ugniasienė siunčia savo žurnalus iš šaltinio, kuriam apsaugoti tunelis niekada nebuvo pastatytas.

Kas ateina, o kas ne

Pradėkite atskirdami du srautus, kurie prietaisų skydelyje atrodo vienodai. Persiunčiamas srautas praeina per ASA: LAN mazgas siunčia rinktuvui, ASA jį palygina su tunelio politika, užšifruoja, ir rinktuvas mato mazgo adresą. Generuojamas srautas prasideda pačioje ASA: įrenginys sukuria syslog paketą, pasirenka išėjimo sąsają ir šaltinį ir tik tada klausia, ar atitinka kuri nors tunelio politika. Pirmasis srautas įrodo, kad tunelis veikia, ir nieko nesako apie antrąjį.

Įrenginyje buferuotas įvykis taip pat nėra nuotolinio pristatymo įrodymas, nes žurnalas gali egzistuoti vietoje ir niekada nebuvo išsiųstas. Prieš kaltindami tunelį patikrinkite rinktuvo priėmimo skaitiklius, nes tuščias skaitiklis yra kitas radinys nei augantis.

Generuojama žinutė nėra persiunčiamas srautas

Kai ASA pati sukuria paketą, ji neveikia kaip LAN mazgo tarpininkė. Šaltinis ateina iš išėjimo sąsajos arba iš aiškaus šaltinio nustatymo, ir paketas patenka į tą pačią maršruto paiešką ir tuos pačius politikos patikrinimus kaip ir viskas, ką įrenginys siunčia. Tai reiškia, kad VPN selektorius turi apimti adresą, kurį ASA iš tikrųjų naudoja, ir tai dažnai yra jos išorinė sąsaja, o ne vidinis potinklis.

Jei politika saugo 10.20.0.0/24, o ASA kaip šaltinį naudoja savo išorinį adresą, žurnalo paketas arba išeina atviru tekstu link rinktuvo, kurio nepasiekia, arba yra numetamas. Abu rezultatai iš rinktuvo pusės atrodo vienodai. Ta pati logika galioja valdymo srautui, todėl management-access yra atskiras projektinis sprendimas.

Kokį šaltinį ASA padeda į tinklą

Raskite šaltinį empiriškai, o ne spėjimu. Užfiksavimas išėjimo sąsajoje bandymo žinutės metu parodo tikrąjį šaltinį ir paskirties vietą, ir tai užima mažiau laiko nei trijų konfigūracijos skyrių skaitymas. Palyginkite tą adresą su vietiniu tunelio selektoriumi.

Kai kurios versijos leidžia prisegti žurnalo šaltinį prie sąsajos, o jūsų versijos komandų žinynas yra autoritetas, ar ta parinktis egzistuoja ir ką ji keičia. Kitos Cisco platformos source-interface komanda ASA automatiškai negalioja.

Jei šaltinį pakeisite, darykite tai sąmoningai ir užsirašykite, nes rinktuvo ACL ir bet kokia koreliacija, pagrįsta syslog, nuo to priklauso.

Suderinkite selektorių su žurnalo srautu

Kai šaltinis žinomas, patikrinkite tris dalykus iš eilės: kripto ACL arba politikos pagrindu veikiantį selektorių, kuris nusprendžia, kuris srautas įdomus, maršrutą, kuris nusprendžia, kur paketas keliauja, ir bet kurią NAT taisyklę, kuri gali perrašyti šaltinį prieš šifravimą. Paketas, kuris atitinka maršrutą, bet ne selektorių, nėra tuneliuojamas, o NAT perrašytas paketas gali neatitikti nė vieno.

Rinktuvo pusė turi savo reikalavimus: ACL, leidžiantis ASA šaltinį, grįžtamasis maršrutas ir klausymo paslauga jūsų sukonfigūruotame porte. Perdavimas čia taip pat svarbus, nes TCP ir TLS žurnalai elgiasi kitaip nei UDP iš dalies užblokuotame kelyje. Keiskite po vieną elementą, kitaip kitas užfiksavimas nepasakys, kuris pakeitimas buvo svarbus.

Patikrinkite rinktuve, tada užrašykite šaltinį

Patvirtinkite, kad žinutė ateina, tada užrašykite šaltinio adresą, kurį naudojo ASA, selektorių, kuris jį pernešė, ir sunkumą, su kuriuo testavote.

Tas įrašas paverčia kitą rinktuvo ACL pakeitimą ar selektoriaus redagavimą dviejų minučių patikrinimu vietoj naujo atradimo. Jis taip pat dokumentuoja, kuris iš dviejų srautų kada nors buvo patvirtintas, ir būtent šią dalį dauguma vadovų praleidžia. Jei žinutė vis dar neateina, laikinai sumažinkite sunkumo slenkstį ir testuokite su viena paskirties vieta.

Cisco ASA žurnalų DUK dokumentuoja atvejį su išoriniu šaltiniu, kuriam reikia atitinkamo apsaugoto srauto apibrėžimo, o jo pavyzdys su vidiniu šaltiniu apima ir žurnalų mazgą viduje, ir management-access viduje. Traktuokite dokumentuotą derinį ir programinės įrangos kontekstą kartu, o ne manykite, kad viena nukopijuota eilutė tinka kiekvienai konfigūracijai.

Tunelis, kuris perneša LAN srautą, nėra tunelis, kuris perneša pačios ugniasienės balsą.