Cisco ASA uz Azure VPN: trafika selektora prefiksu pāri

Tunelis paceļas, IKE izskatās vesels, un caur to nekas neiet. Tā ir parastā ASA–Azure selektora problēmas forma, un tāpēc es rakstu līgumu pirms jebkuras konsoles aizskaršanas. Līgums ir četras lietas: objekti, kas identificē katru peer, savienojuma modelis, precīzi prefiksu pāri un pārbaude, kas pierāda katru pāri. Kļūdieties šeit, un katra nākamā komanda atkļūdos konfigurāciju, kuru jums nevajadzēja būvēt. Šī rokasgrāmata ir secība, ko izmantoju, kopā ar komandām, kas parāda, kurš objekts patiešām ir nepareizs.

Pirms konfigurēšanas pierakstiet četrus objektus

Sāciet ar ASA izlaidumu un platformu, publisko endpointu, Azure VPN gateway tipu un SKU, un vietējā tīkla gateway, kas pārstāv jūsu pusi. Šie četri nosaukumi ir vārdnīca visam, kas seko, un katram ir cits atbildīgais, kad kaut kas salūzt.

Ja divi no tiem vēl ir minējumi, apstājieties. Nepareizs vietējā tīkla gateway prefiksu saraksts nav regulēšanas problēma.

Izvēlieties vienu savienojuma modeli un pārtrauciet šablonu jaukšanu

crypto map dizains un tunnel interface dizains ir atšķirīgas konfigurācijas, un viena šablons nekļūst derīgs otram, mainot peer adresi. Pierakstiet, kuru būvējat, pirms kaut ko ielīmējat, jo neatbilstība vēlāk parādās kā selektora problēma, nevis konfigurācijas kļūda. Microsoft ASA savietojamības rokasgrāmata aptver abus modeļus un norāda, kuru Azure gateway modeli katrs pieņem. Ja jūsu piezīmēs modelis nav nosaukts, dizaina vēl nav.

Maršrutā balstīts Azure gateway ar politikā balstītiem trafika selektoriem ir konkrēta dokumentēta iespēja, nevis noklusējums. Ja jūsu dizains no tās atkarīgs, dizainam tas jāsaka, jo noklusējuma maršruta selektora modelis Azure pusē uzvedas citādi.

Versiju ierobežojumi arī pieder līgumam. Vecs lauka ziņojums par šifrēšanas domēnu griestiem ir datu punkts par konkrētiem izlaidumiem, nevis pastāvīga katra ASA īpašība.

Uzskaitiet prefiksu pārus, nevis agregātus

Uzrakstiet matricu. No vietējiem A un B uz Azure X un Y ir četri pāri, un katram vajag pārklājumu vai skaidru izslēgšanu. A un B apvienošana vienā agregātā iekļauj arī visu, kas atrodas starp tiem, un tā dizains klusi izaudzē caurumu.

Pārbaudiet, par ko vienojušies peer, nevis to, ko esat saglabājis. Vietējo un attālo tīklu saraksts ASA ir nodoms; CHILD SA ir rezultāts.

Kad pāra trūkst, labojums parasti ir access-list rinda vai selektora ieraksts, nevis jauns tunelis.

Pārbaudiet ar komandām, kas nosauc objektu

ASA apstipriniet IKE sesiju, tad IPsec SA, tad selektora pārus. Katra komanda atbild uz citu jautājumu, un tikai pirmās izpilde padara „tunelis ir pacelts“ par nepareizu secinājumu. Lasiet izvadi tam peer, kuru tiešām konfigurējāt, nevis tam SA, kas sarakstā ir pirmais. Azure puse atbild uz tiem pašiem trim jautājumiem no sava skatupunkta.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Pēc tam pajautājiet Azure savienojuma stāvokli ar az network vpn-connection show --name <connection> --query connectionStatus. Savienots ar nulli baitu datu ceļā ir selektora, nevis maršrutēšanas problēma.

Izmēģiniet vienu atļautu plūsmu katram pārim, pārbaudiet avota adresi, kas redzama otrā pusē, un izmēģiniet vienu resursu, kam jābūt liegtam. Tikai šis pēdējais tests pierāda, ka robeža joprojām pastāv.

Turiet šifrēšanas apjomu atsevišķi no piekļuves atļaujas

Plašs selektors nav atļauja. Ja atbalstītais izkārtojums ir platāks par lietojumprogrammas politiku, šauros pakalpojumus atstājiet firewall noteikumos un šifrēšanas apjomu atstājiet tur, kur tam jābūt.

Azure darba slodžu maršruti un vietējie atgriešanas maršruti tiek pārskatīti atsevišķi. BGP paziņojumiem, statiskajam tīkla apjomam un lietotāja definētajiem maršrutiem jāapraksta viens ceļš, un neviens no tiem nedrīkst rekursīvi pārtvert peer transportu.

Atritināšana un pierādījums, ka tā nostrādāja

Pirms selektoru maiņas saglabājiet iepriekšējo darbojošos konfigurāciju un ziniet vienu komandu, kas to atgriež. ASA tas nozīmē saglabātu kopiju un atbilstošu atjaunošanas ceļu, nevis atmiņu par to, ko rediģējāt. Ierakstiet atjaunošanas komandu izmaiņu biļetē, kamēr izmaiņa vēl ir hipotētiska. Pēc tam atkārtoti palaidiet tos pašus trīs pārbaudes: IKE stāvoklis, IPsec SA pāri, viena atļauta plūsma katram pārim.

Ja pāris joprojām neizdodas pēc atjaunošanas, izmaiņa nebija cēlonis, un jūs tikko izvairījāties no otrā pārtraukuma.