Cisco ASA кон Azure VPN: парови префикси на селекторот за сообраќај

Тунелот се крева, IKE изгледа здраво, а низ него ништо не поминува. Тоа е вообичаената форма на проблем со селекторот ASA-кон-Azure, и затоа го пишувам договорот пред да допрам која било конзола. Договорот е четири работи: објектите што го идентификуваат секој партнер, моделот на врска, точните парови префикси и проверката што го докажува секој пар. Згрешете овде и секоја подоцнежна команда дебагира конфигурација што не требало да ја изградите. Ова упатство е редоследот што го користам, со командите што покажуваат кој објект е навистина погрешен.

Запишете ги четирите објекти пред да конфигурирате

Започнете со изданието и платформата на ASA, јавната крајна точка, типот и SKU на Azure VPN gateway и локалниот мрежен gateway што ја претставува вашата страна. Овие четири имиња се речникот за сè што следи, и секое има различен сопственик кога нешто ќе се расипе.

Ако две од нив сè уште се претпоставки, застанете. Погрешна листа на префикси на локалниот мрежен gateway не е проблем со подесување.

Изберете еден модел на врска и престанете да мешате шаблони

crypto map дизајнот и tunnel interface дизајнот се различни конфигурации, и шаблонот за едниот не станува валиден за другиот со менување на адресата на партнерот. Забележете кој го градите пред да залепите нешто, бидејќи неусогласеноста подоцна се појавува како проблем со селекторот, а не како грешка во конфигурацијата. Водичот за интероперабилност на ASA на Microsoft ги покрива двата шаблони и наведува кој модел на Azure gateway го претпоставува секој. Ако вашите белешки не го именуваат моделот, сè уште немате дизајн.

Azure gateway базиран на рути со селектори на сообраќај базирани на политики е конкретна документирана опција, не стандардната. Ако вашиот дизајн зависи од неа, дизајнот мора тоа да го каже, бидејќи стандардниот модел на селектор базиран на рути се однесува поинаку на страната на Azure.

Ограничувањата на верзиите исто така припаѓаат на договорот. Стар теренски извештај за граница на домени за шифрирање е податок за конкретни изданија, не трајна особина на секој ASA.

Набројте парови префикси, не агрегати

Напишете ја матрицата. Од локалните A и B кон Azure X и Y се четири пара, и секој бара покриеност или јасно исклучување. Спојувањето на A и B во еден агрегат го вклучува и сè што е меѓу нив, и така дизајнот тивко добива дупка.

Проверете за што се договориле партнерите, а не што сте зачувале. Листата на локални и оддалечени мрежи на ASA е намера; CHILD SA се резултатот.

Кога недостасува пар, поправката обично е линија во access-list или запис во селекторот, не нов тунел.

Проверете со команди што го именуваат објектот

На ASA потврдете ја IKE сесијата, потоа IPsec SA, потоа паровите на селекторот. Секоја команда одговара на различно прашање, и извршувањето само на првата е начинот на кој „тунелот е кренат“ станува лажен заклучок. Читајте го излезот за партнерот што навистина сте го конфигурирале, а не за SA што случајно е прв во листата. Страната на Azure одговара на истите три прашања од своето гледиште.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Потоа прашајте го Azure за состојбата на врската со az network vpn-connection show --name <connection> --query connectionStatus. Поврзано со нула бајти во патеката на податоци е проблем со селекторот, не со рутирањето.

Тестирајте еден дозволен тек по пар, проверете ја изворната адреса видена на другата страна и пробајте еден ресурс што треба да биде одбиен. Само тој последен тест докажува дека границата сè уште постои.

Држете го опсегот на шифрирање одвоен од дозволата за пристап

Широк селектор не е дозвола. Ако поддржаниот распоред е поширок од апликациската политика, чувајте ги тесните услуги во firewall правилата и оставете го опсегот на шифрирање таму каде што мора да биде.

Рутите на Azure работните оптоварувања и локалните повратни рути се разгледуваат одделно. BGP најавите, статичниот мрежен опсег и кориснички дефинираните рути мора да опишуваат иста патека, и ниту една од нив не смее рекурзивно да го зафати транспортот на партнерот.

Враќање и доказот дека работеше

Зачувајте ја претходната работна конфигурација пред да ги менувате селекторите и знајте ја едната команда што ја враќа. На ASA тоа значи зачувана копија и соодветна патека за враќање, не сеќавање на тоа што сте го уредувале. Запишете ја командата за враќање во тикетот за промена додека промената е сè уште хипотетичка. Потоа повторно извршете ги истите три проверки: IKE состојба, IPsec SA парови, еден дозволен тек по пар.

Ако парот сè уште не успева по враќањето, промената не беше причината, и штотуку си заштедивте втор прекин.