സൈറ്റ്-ടു-സൈറ്റ് VPN-ലൂടെ ASA DHCP റിലേ: ഘട്ടം ഘട്ടമായുള്ള ഗൈഡ്

റിലേ മൂന്ന് ഘട്ടങ്ങളിലായി പ്രവർത്തിക്കുന്നു, VPN കടക്കുന്നത് മധ്യഘട്ടം മാത്രമാണ്. ക്ലയന്റ് ശാഖാ സെഗ്മെന്റിൽ ബ്രോഡ്കാസ്റ്റ് അയയ്ക്കുന്നു, ASA ആ ബ്രോഡ്കാസ്റ്റ് DHCP സർവറിലേക്കുള്ള യൂണികാസ്റ്റ് അഭ്യർത്ഥനയാക്കി മാറ്റുന്നു, സർവർ ക്ലയന്റിനല്ല, റിലേ വിലാസത്തിനാണ് മറുപടി നൽകുന്നത്. ഈ ക്രമത്തിൽ ഘട്ടങ്ങൾ പിന്നിടുക; «റിലേ കേടാണ്» എന്ന പല കേസുകളും ഇല്ലാത്ത ഒരു നയത്തിലോ തെറ്റായി വായിച്ച setroute വരിയിലോ എത്തിച്ചേരും.

ആദ്യ ഘട്ടം: ക്ലയന്റിന് അഭിമുഖമായ ഇന്റർഫേസിൽ റിലേ പ്രവർത്തനക്ഷമമാക്കുക

ശാഖയിലെ ASA-യിൽ റിലേ എന്നത് ക്ലയന്റുകളിലേക്ക് നോക്കുന്ന ഇന്റർഫേസിന്റെ സവിശേഷതയാണ്. സർവറിനെ അതിന്റെ എത്തിച്ചേരാവുന്ന ഇന്റർഫേസിനൊപ്പം ആഗോളമായി പ്രഖ്യാപിക്കാം, അല്ലെങ്കിൽ റൂട്ടിംഗ് പട്ടിക പുറത്തുകടക്കൽ തിരഞ്ഞെടുക്കാൻ ആ ക്ലയന്റ്-അഭിമുഖ ഇന്റർഫേസിന് കീഴിൽ പ്രഖ്യാപിക്കാം. ഈ രണ്ട് രൂപങ്ങളും പരസ്പരം മാറ്റാനാവില്ല, തെറ്റായത് പകർത്തുന്നതാണ് ഗൈഡ് ആദ്യം വഴിതെറ്റുന്ന ഇടം.

എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് പ്രവർത്തിക്കുന്ന കോൺഫിഗ് പരിശോധിക്കുക: ഏത് ഇന്റർഫേസിലാണ് റിലേ സജീവം, ഏത് സർവർ രൂപമാണുള്ളത്, setroute ക്ലയന്റ് ഇന്റർഫേസുമായി ബന്ധിപ്പിച്ചിട്ടുണ്ടോ. ASA മറ്റൊരു സെഗ്മെന്റിനായി DHCP സർവറും പ്രവർത്തിപ്പിക്കുന്നുവെങ്കിൽ, നിർത്തി നിയന്ത്രണങ്ങളുടെ പട്ടിക വായിക്കുക; ഒരേ ഉപകരണത്തിൽ സർവറും റിലേയും ഒരുമിച്ച് സജീവമാക്കാനാവില്ല.

റിലേ അതിന്റെ സ്വന്തം ക്ലയന്റ്-അഭിമുഖ വിലാസം ഗേറ്റ്വേ-വിലാസ ഫീൽഡിൽ ഇടുന്നു. സർവർ മറുപടി നൽകുന്നത് ആ വിലാസത്തിനാണ്, അതിനാൽ അത് പ്രാദേശികമായി മാത്രമല്ല, ടണലിലൂടെ വിദൂര സൈറ്റിൽ നിന്നും എത്തിച്ചേരാവുന്നതായിരിക്കണം.

രണ്ടാം ഘട്ടം: ASA സൃഷ്ടിക്കുന്ന ട്രാഫിക് ടണലിലൂടെ കൊണ്ടുപോകുക

ഇതാണ് ആളുകൾ ഒഴിവാക്കുന്ന ഘട്ടം. നയാധിഷ്ഠിത സൈറ്റ്-ടു-സൈറ്റ് VPN സാധാരണയായി സബ്നെറ്റുകൾക്കിടയിലെ ട്രാഫിക്കിനാണ് നിർമ്മിക്കുന്നത്, റിലേ അഭ്യർത്ഥന ASA തന്നെ സൃഷ്ടിക്കുന്നു. ടണലിന്റെ ആക്സസ് ലിസ്റ്റും ക്രിപ്റ്റോ മാപ്പും ശാഖാ-ഹോസ്റ്റിൽ നിന്ന് സർവർ-സബ്നെറ്റിലേക്കുള്ള പ്രവാഹങ്ങളുമായി മാത്രം യോജിക്കുന്നുവെങ്കിൽ, റിലേ പാക്കറ്റ് ഒരിക്കലും ടണലിൽ പ്രവേശിക്കണമെന്നില്ല. ആക്സസ് ലിസ്റ്റ് രണ്ട് ദിശകളിലും പരിശോധിക്കുക, ശാഖയിൽ നിന്ന് സർവറിലേക്കുള്ള വരിയിൽ മാത്രമല്ല.

താൽപ്പര്യമുള്ള ട്രാഫിക് ASA-യുടെ റിലേ ഉറവിടവും സർവർ വിലാസവും ഉൾക്കൊള്ളുന്നുവെന്നും, മടങ്ങിവരുന്ന ദിശയും അനുവദനീയമാണെന്നും ഉറപ്പാക്കുക. VTI അധിഷ്ഠിത രൂപകൽപ്പനയിൽ റൂട്ടിംഗ് തീരുമാനം ലളിതമാണ്, പക്ഷേ VTI-യിലൂടെയുള്ള റിലേ പിന്തുണ ഒരു നിർദ്ദിഷ്ട റിലീസിൽ വന്നു; ASA-യുടെ DHCP ഗൈഡ് 9.14(1) സൂചിപ്പിക്കുന്നു, അതിനാൽ പഴയ ഉപകരണത്തിലേക്ക് VTI ഉദാഹരണം പകർത്തുന്നതിന് മുമ്പ് ഇമേജ് പരിശോധിക്കുക.

ASA-യിൽ നിന്ന് സർവറിലേക്കുള്ള ping സ്വയം കാര്യമായി ഒന്നും തെളിയിക്കുന്നില്ല. അത് മറ്റൊരു വഴിയിലൂടെ, മറ്റൊരു ഉറവിട വിലാസത്തോടെ, അല്ലെങ്കിൽ റിലേ പാക്കറ്റുകൾ യോജിക്കാത്ത ഒരു നയത്തിന് കീഴിൽ വിജയിച്ചേക്കാം.

മൂന്നാം ഘട്ടം: മറുപടിയും setroute ഓപ്ഷനും വായിക്കുക

ആ ഫീൽഡ് പൂജ്യമല്ലാതിരിക്കുമ്പോൾ സർവർ തന്റെ മറുപടി giaddr-ലെ വിലാസത്തിലേക്ക് അയയ്ക്കുന്നു എന്ന് RFC 2131 പറയുന്നു. അതിനാൽ മടങ്ങിവരുന്ന പാത റിലേ വിലാസത്തിലേക്ക് റൂട്ട് ചെയ്യണം, ടണൽ നയം സർവറിൽ നിന്ന് റിലേയിലേക്കുള്ള ദിശ അനുവദിക്കണം. അഭ്യർത്ഥന കടന്നുപോയെങ്കിലും ഓഫർ ഒരിക്കലും എത്തിയില്ലെങ്കിൽ, നോക്കേണ്ടത് ഇവിടെയാണ്.

തുടർന്ന് സമാനമായി കേൾക്കുന്ന രണ്ട് കാര്യങ്ങൾ വേർതിരിക്കുക. setroute കീവേഡ് ASA ക്ലയന്റിന് നൽകുന്ന ഡിഫോൾട്ട്-റൗട്ടർ ഓപ്ഷൻ മാറ്റുന്നു അല്ലെങ്കിൽ ചേർക്കുന്നു. അത് ASA-യിൽ ഒരു റൂട്ടും ഇൻസ്റ്റാൾ ചെയ്യുന്നില്ല, VPN നയവും സൃഷ്ടിക്കുന്നില്ല. വിലാസം ലഭിച്ചിട്ടും എവിടെയും എത്താത്ത ക്ലയന്റിൽ പലപ്പോഴും ടണൽ പ്രശ്നമല്ല, setroute അല്ലെങ്കിൽ സ്കോപ്പ് പ്രശ്നമാണ്. സ്ഥിര ഗേറ്റ്വേ ഇല്ലാത്ത ക്ലയന്റുമായി പരീക്ഷിച്ച് ഓഫറിൽ ഏത് ഡിഫോൾട്ട് റൗട്ടർ വരുന്നു എന്ന് നോക്കുക.

ഓഫർ ആദ്യം മുതൽ അവസാനം വരെ വായിക്കുക: നൽകുന്ന വിലാസം, മാസ്ക്, ഡിഫോൾട്ട് റൗട്ടർ, DNS, ലീസ് സമയം. തുടർന്ന് ലീസ് പുതുക്കാൻ അനുവദിക്കുക. ഒരിക്കൽ പ്രവർത്തിച്ച് പുതുക്കുമ്പോൾ പരാജയപ്പെടുന്ന റിലേയിൽ സാധാരണയായി സ്കോപ്പ്, ലീസ് അല്ലെങ്കിൽ മടങ്ങിവരുന്ന പാതയുടെ പ്രശ്നമുണ്ടാകും, അത് ആദ്യ കൈമാറ്റം മറച്ചിരുന്നു.

ശരിയായി എന്ന് പറയുന്നതിന് മുമ്പ് ഞാൻ പരിശോധിക്കുന്നത്

ക്ലയന്റിൽ നിന്ന് തുടങ്ങി ബ്രോഡ്കാസ്റ്റ് പിടിക്കുക, തുടർന്ന് ASA അത് തന്റെ സ്വന്തം വിലാസം giaddr ആയി ഉപയോഗിച്ച് റിലേ ചെയ്തുവെന്ന് ഉറപ്പാക്കുക. വിദൂര ഭാഗത്ത് സർവർ ആ അഭ്യർത്ഥന കണ്ടുവെന്നും ശാഖയ്ക്ക് യോജിക്കുന്ന സ്കോപ്പ് തിരഞ്ഞെടുത്തുവെന്നും ഉറപ്പാക്കുക. ശാഖയിൽ തിരികെ എത്തി ക്ലയന്റ് ഓഫർ സ്വീകരിച്ചുവെന്നും അതിന്റെ ഗേറ്റ്വേയിൽ എത്തുന്നുവെന്നും ഉറപ്പാക്കുക.

ഏതെങ്കിലും ഘട്ടം നിശ്ശബ്ദമാണെങ്കിൽ, മറ്റൊരു റിലേ പ്രസ്താവന ചേർക്കുന്നതിന് പകരം ബന്ധപ്പെട്ട നയമോ റൂട്ടോ പരിശോധിക്കുക. ആരെങ്കിലും ഉയർത്തുമ്പോഴേക്കും റിലേ കോൺഫിഗ് സാധാരണയായി ശരിയായിരിക്കും; മാറിയത് ടണൽ നയമോ മടങ്ങിവരുന്ന റൂട്ടോ ആണ്.

മൂന്ന് ഘട്ടങ്ങളും മാറ്റരേഖയിൽ എഴുതുക: ക്ലയന്റ്-അഭിമുഖ ഇന്റർഫേസ്, റിലേ ട്രാഫിക് ഉൾക്കൊള്ളുന്ന VPN നയം, സർവറിന്റെ giaddr-ലേക്കുള്ള മടക്ക റൂട്ട്. ആ രേഖയാണ് അടുത്ത ശാഖാ നിർമ്മാണത്തെ ഡീബഗ്ഗിംഗ് സെഷനല്ലാതെ ആവർത്തിക്കാവുന്ന ജോലിയാക്കുന്നത്. അടുത്ത എൻജിനീയർ ഏത് കമാൻഡ് ഔട്ട്പുട്ട് ആദ്യം ശേഖരിക്കണം എന്നും അത് പറയുന്നു.