Како да моделирате VPN тек со ASA packet-tracer

Packet-tracer на ASA одговара на тесно прашање: дали овој пакет, што влегува овде со оваа торка, би бил дозволен и каде би одел. Тој не одговара дали далечниот крај прима нешто. Вообичаената грешка е да се внесе надворешна IKE торка кога тоа што сакате да го тестирате е апликацијата што се движи внатре во тунелот. Прво поправете ја торката, прочитајте ги фазите, а потоа обезбедете вистински докази за сѐ што симулаторот не го гледа.

Прегледот подолу претпоставува дека ACL, правилото NAT и контекстот tunnel-group се пред вас. Без нив излезот опишува политика што не можете да ја проверите.

Чекор 1: напишете го внатрешниот тек со едноставни зборови

Опишете ја апликацијата пред да напишете нешто. Внатрешен домаќин што отвора SSH кон сервер зад далечната порта е еден внатрешен TCP тек со определен изворен порт. Тоа е текот што го оценуваат ACL и VPN филтерот, затоа тоа е текот што го внесувате.

Напишете го како реченица, а потоа преведете го поле по поле:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Чекор 2: изберете го влезниот интерфејс и насоката

Влезот е интерфејсот на кој пристигнува пакетот, не оној низ кој излегува. За LAN домаќин што иницира, тоа е интерфејсот inside. За повратниот пакет на истата сесија тоа е интерфејсот outside, и торката се превртува. Пишувањето на одредиштето како извор е вториот најчест начин да се добие убедлив, но неважен ALLOW.

И портите имаат насока. Портата на услугата припаѓа на полето за одредиште при иницирано барање, а ефемерната порта на клиентот припаѓа на полето за извор. Модел со TCP одредиште 500 опишува TCP апликација што слуша на 500; не станува IKE тест само затоа што бројот се појавува во командата.

Чекор 3: читајте ги фазите по ред

Секоја фаза во излезот е одлука со сопственик: пребарување на маршрута, ACL, NAT, потоа избор на VPN или тунел. Читајте ги по печатениот ред и застанете на првата фаза што не се совпаѓа со дизајнот.

NAT ги фаќа луѓето. Ако преведениот извор падне надвор од crypto ACL што го избира сообраќајот за тунелот, текот може да биде дозволен и никогаш да не се инкапсулира. Трагата ја печати преведената адреса, затоа споредете ја со интересниот сообраќај на тунелот, а не со оригиналната адреса.

Чекор 4: проверете кои заобиколувања ги избравте

Формата detailed прифаќа опции што прескокнуваат проверки, а Cisco документира опција bypass-checks што покрива ACL, VPN филтер, uRPF и проверки за лажно претставување по IPsec. ALLOW добиен со нив прескокнати вели дека маршрутата и NAT би работеле, не дека политиката би примила вистински пакет. Запишете ги опциите до резултатот.

Ако ви треба одговорот на политиката, извршете го без заобиколувањата. Ако изолирате прашање за рутирање, извршете го со нив и означете го резултатот како одговор за рутирање.

Чекор 5: затворете јазот со вистинската размена

Симулираната дозвола запира на ASA. Дали далечната порта го дешифрираше пакетот, дали серверот ја прифати врската и дали се врати одговор се одделни набљудувања. Користете бројачи на крајни точки или тесно фаќање на одобрена патека.

Некои опции на trace и replay пренесуваат пакети или чуваат состојба. Следете го документираното однесување за вашето издание и одобрената дијагностичка постапка наместо секоја варијанта да ја третирате како пребарување само за читање.

Што трагата сѐ уште не може да ви каже

Држете четири работи во една белешка: торката, совпаднатото правило NAT, тунелот или политиката што треба да го носи текот и набљудувањето специфично за насоката. Без нив подоцнежен инженер не може да одвои локална одлука за политика од воспоставена контролна рамнина и од услуга што работи. Прв неуспех по кој следи успех исто така не е доказ дека тунелот морал да се крене помеѓу; запишете ја фазата и промената на состојбата.

Почнете со внатрешната торка, застанете на првата фаза што му противречи на дизајнот и само тогаш посегнете по докази од крајни точки. Трагата е оракул за политика, не потврда за достава.