Cisco ASA tuneļa noklusējuma maršruts: kad tas patiešām tiek piemērots

Attālās piekļuves lietotājs neko nesasniedz aiz ASA, kamēr tas pats serveris atbild uz ping no iekšējā LAN. Tunelis paceļas, klients saņem adresi no pool, un pakete joprojām iziet pa interneta noklusējuma maršrutu vai pazūd. Šis modelis parasti nozīmē, ka atšifrētā plūsma neatrada savu maršrutu un iekrita parastajā noklusējuma maršrutā. Labojums nav vēl viens NAT noteikums; tas ir tuneļa noklusējuma maršruts.

Sāciet ar simptomu, nevis ar konfigurāciju

Vērojiet, kur pakete iet, nevis kur jūs gaidījāt, ka tā ies. Uzņemts saturs ārējā interfeisā neveiksmīgas sesijas laikā parāda atšifrēto paketi, kas dodas uz ISP gateway ar vēl neskartu pool adresi, vai neparāda neko, jo meklēšana neizdevās. Abos gadījumos tunelis nav problēma.

show vpn-sessiondb tunelis izskatās vesels, un tieši tāpēc cilvēki turpina atkļūdot IKE.

No ACL nomešanas to atšķir virziens. ACL nomešana tiek žurnālēta un skaitīta, bet trūkstošs maršruts rada meklēšanas kļūdu bez atbilstoša ieraksta. Palaidiet show route klienta galamērķim un izlasiet, ko ASA faktiski izvēlējās, tostarp vai tika izvēlēts noklusējuma maršruts un kurš.

Kā tuneļa meklēšana atšķiras

Cisco ASA 9.23 statiskās maršrutēšanas rokasgrāmatā dokumentēts atsevišķs noklusējuma maršruts atšifrētai VPN plūsmai, kurai nav statiska vai apgūta maršruta. tunneled atslēgvārds iezīmē šo maršrutu, tāpēc atšifrētā pakete var iekrist citā nākamajā lēcienā nekā tajā, ko ASA izmanto savam transportam. Konkrētāki maršruti joprojām uzvar, tāpēc klients var sasniegt 10.0.0.0/8 caur iekšējo gateway un zaudēt visu pārējo.

Minimālā konfigurācija patur divus noklusējuma maršrutus ar dažādiem nākamajiem lēcieniem. Viens pārvadā pašas ASA plūsmu, otrs – atšifrēto plūsmu, kurai nav labāka maršruta. Abiem nākamajiem lēcieniem joprojām jābūt sasniedzamiem no interfeisa, kuram tos pievienojat.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Ja abi noklusējuma maršruti norāda uz vienu un to pašu nākamo lēcienu, atslēgvārds neko nemaina un simptoms nekustēsies.

Ierobežojumi, kas nosaka, vai tas darbosies

Tajā pašā rokasgrāmatā atļauts tikai viens tuneļa noklusējuma maršruts un norādīts, ka ECMP tam netiek atbalstīts, tāpēc šajā ceļā nevar sadalīt slodzi. Tajā arī uzskaitīti ierobežojumi, kas saistīti ar maršrutu izsekošanu, apgrieztā ceļa pārbaudi un dažām inspekcijas un pārvaldības plūsmām. Izlasiet tos, ņemot vērā instalēto laidienu, pirms projektējat ap šo funkciju. Risinājums, kas tos ignorē, parasti neizdodas vienā konkrētā vietā, nevis visur, tāpēc simptoms šķiet pārtraukts.

Apgrieztā ceļa pārbaude ir tā, kas kož asimetriskos risinājumos. Ja atbilde pienāktu pa citu interfeisu, nekā ASA gaida, pakete tiek nomesta pirms maršrutēšanai ir nozīme. Labojiet topoloģiju vai atgriešanās ceļu, nevis izslēdziet pārbaudi, lai uzspiestu nākamo lēcienu.

Maršrutu izsekošana ir atsevišķas lamatas: izsekotais objekts parasti sargā parasto noklusējuma maršrutu, nevis tuneļa maršrutu.

Ko atslēgvārds nedara

Tas neizvēlas avota adresi, ko ASA izmanto IKE veidošanai. Tuneļa ārējais galapunkts seko platformas pašas interfeisa un avota izvēlei, un tuneļa noklusējuma maršrutam šajā lēmumā nav daļas. Tā maiņa nesalabos phase 1, kas sākas no nepareizas adreses.

Tas arī nepārvērš nākamo lēcienu par starpniekserveri. Ja galamērķis gaida HTTP CONNECT apmaiņu, neapstrādātu IP pakešu sūtīšana uz starpniekservera resursdatoru dod tikai resursdatoru, kas tās nemaršrutē. Tā vietā konfigurējiet klienta atbalstīto starpniekservera mehānismu.

Un tas nerada turpmāku pārsūtīšanu. Gateway, uz kuru norādāt, joprojām ir vajadzīgs atgriešanās maršruts uz VPN pool, kā arī avota tulkošana tur, kur to prasa risinājums.

Pārbaudiet ceļu no sākuma līdz beigām

Kad maršruts ir ievietots, pēc kārtas pārbaudiet četras lietas: show route galamērķim, kas vajadzīgs pool, uzņemšanu interfeisā virzienā uz jauno nākamo lēcienu, uzņemšanu pašā gateway un atgriešanās ceļu no šī gateway uz pool adresi. Pirmie divi pierāda, ka ASA izvēlējās šo ceļu, bet pēdējie divi – ka kāds tajā atbild.

Ja gateway atbild, bet klients nekad neredz atbildi, apskatiet avota tulkošanu un atgriešanās maršrutu, pirms vēlreiz aiztiekat maršrutu tabulu.

Pierakstiet laidienu, kurā pārbaudījāt, jo ierobežojumu saraksts ir atkarīgs no versijas, un risinājumam, kas darbojas vienā atzarā, citā var būt vajadzīgs cits ceļš. Šī piezīme pārdzīvo konfigurācijas fragmentu.