Cisco ASA മുതൽ Azure VPN വരെ: ട്രാഫിക് സെലക്ടർ പ്രിഫിക്സ് ജോഡികൾ

ടണൽ ഉയരുന്നു, IKE ആരോഗ്യകരമായി തോന്നുന്നു, പക്ഷേ അതിലൂടെ ഒന്നും കടക്കുന്നില്ല. ASA മുതൽ Azure വരെയുള്ള സെലക്ടർ പ്രശ്നത്തിന്റെ സാധാരണ രൂപമാണിത്, അതുകൊണ്ടാണ് ഏതെങ്കിലും കൺസോൾ തൊടുന്നതിന് മുമ്പ് ഞാൻ കരാർ എഴുതുന്നത്. കരാർ നാല് കാര്യങ്ങളാണ്: ഓരോ പിയറിനെയും തിരിച്ചറിയുന്ന ഒബ്ജക്റ്റുകൾ, കണക്ഷൻ മാതൃക, കൃത്യമായ പ്രിഫിക്സ് ജോഡികൾ, ഓരോ ജോഡിയെയും തെളിയിക്കുന്ന പരിശോധന. ഇവിടെ തെറ്റ് വരുത്തിയാൽ, തുടർന്നുള്ള ഓരോ കമാൻഡും നിങ്ങൾ നിർമ്മിക്കാൻ പാടില്ലാത്ത ഒരു കോൺഫിഗറേഷൻ ഡീബഗ് ചെയ്യും. ഞാൻ ഉപയോഗിക്കുന്ന ക്രമമാണ് ഈ റൺബുക്ക്, ഏത് ഒബ്ജക്റ്റാണ് യഥാർത്ഥത്തിൽ തെറ്റ് എന്ന് കാണിക്കുന്ന കമാൻഡുകളോടെ.

കോൺഫിഗർ ചെയ്യുന്നതിന് മുമ്പ് നാല് ഒബ്ജക്റ്റുകൾ എഴുതിവയ്ക്കുക

ASA റിലീസും പ്ലാറ്റ്ഫോമും, പൊതു എൻഡ്പോയിന്റ്, Azure VPN ഗേറ്റ്വേ തരവും SKU-വും, നിങ്ങളുടെ വശത്തെ പ്രതിനിധീകരിക്കുന്ന ലോക്കൽ നെറ്റ്വർക്ക് ഗേറ്റ്വേയിൽ നിന്ന് തുടങ്ങുക. ഈ നാല് പേരുകളാണ് തുടർന്നുള്ള എല്ലാറ്റിന്റെയും പദാവലി, എന്തെങ്കിലും തകരുമ്പോൾ ഓരോന്നിനും വേറെ ഉത്തരവാദിയുണ്ട്.

അവയിൽ രണ്ടെണ്ണം ഇപ്പോഴും ഊഹങ്ങളാണെങ്കിൽ, നിർത്തുക. ലോക്കൽ നെറ്റ്വർക്ക് ഗേറ്റ്വേയിലെ തെറ്റായ പ്രിഫിക്സ് പട്ടിക ഒരു ട്യൂണിംഗ് പ്രശ്നമല്ല.

ഒരു കണക്ഷൻ മാതൃക തിരഞ്ഞെടുത്ത് ടെംപ്ലേറ്റുകൾ കലർത്തുന്നത് നിർത്തുക

crypto map രൂപകൽപ്പനയും tunnel interface രൂപകൽപ്പനയും വ്യത്യസ്ത കോൺഫിഗറേഷനുകളാണ്, ഒന്നിന്റെ ടെംപ്ലേറ്റ് പിയർ വിലാസം തിരുത്തിയാൽ മറ്റൊന്നിന് സാധുവാകില്ല. എന്തെങ്കിലും പേസ്റ്റ് ചെയ്യുന്നതിന് മുമ്പ് ഏതാണ് നിർമ്മിക്കുന്നതെന്ന് രേഖപ്പെടുത്തുക, കാരണം പൊരുത്തക്കേട് പിന്നീട് കോൺഫിഗറേഷൻ പിശകായല്ല, സെലക്ടർ പ്രശ്നമായി പ്രത്യക്ഷപ്പെടുന്നു. Microsoft-ന്റെ ASA ഇന്റർഓപ്പറബിലിറ്റി ഗൈഡ് രണ്ട് മാതൃകകളും ഉൾക്കൊള്ളുന്നു, ഓരോന്നും ഏത് Azure ഗേറ്റ്വേ മാതൃക അനുമാനിക്കുന്നുവെന്ന് പറയുന്നു. നിങ്ങളുടെ കുറിപ്പുകളിൽ മാതൃകയുടെ പേരില്ലെങ്കിൽ, ഇപ്പോഴും രൂപകൽപ്പനയില്ല.

പോളിസി അടിസ്ഥാനമാക്കിയ ട്രാഫിക് സെലക്ടറുകളുള്ള റൂട്ട് അടിസ്ഥാനമാക്കിയ Azure ഗേറ്റ്വേ ഒരു നിർദ്ദിഷ്ട രേഖപ്പെടുത്തിയ ഓപ്ഷനാണ്, സ്ഥിരസ്ഥിതിയല്ല. നിങ്ങളുടെ രൂപകൽപ്പന അതിനെ ആശ്രയിക്കുന്നുവെങ്കിൽ, രൂപകൽപ്പന അത് പറയണം, കാരണം സ്ഥിരസ്ഥിതി റൂട്ട് സെലക്ടർ മാതൃക Azure വശത്ത് വ്യത്യസ്തമായി പ്രവർത്തിക്കുന്നു.

പതിപ്പ് പരിധികളും കരാറിൽ ഉണ്ടായിരിക്കണം. എൻക്രിപ്ഷൻ ഡൊമെയ്നുകളുടെ പരിധിയെക്കുറിച്ചുള്ള പഴയ ഫീൽഡ് റിപ്പോർട്ട് നിർദ്ദിഷ്ട റിലീസുകളെക്കുറിച്ചുള്ള ഒരു ഡാറ്റാ പോയിന്റാണ്, എല്ലാ ASA-യുടെയും ശാശ്വത സ്വഭാവമല്ല.

അഗ്രിഗേറ്റുകളല്ല, പ്രിഫിക്സ് ജോഡികൾ എണ്ണുക

മാട്രിക്സ് എഴുതുക. ഓൺ-പ്രെമിസസ് A, B എന്നിവയിൽ നിന്ന് Azure X, Y ലേക്ക് നാല് ജോഡികളാണ്, ഓരോന്നിനും കവറേജോ വ്യക്തമായ ഒഴിവാക്കലോ വേണം. A, B എന്നിവ ഒരു അഗ്രിഗേറ്റിലേക്ക് ചേർക്കുന്നത് അവയ്ക്കിടയിലുള്ളതും ഉൾപ്പെടുത്തുന്നു, അങ്ങനെ രൂപകൽപ്പന നിശബ്ദമായി ഒരു ദ്വാരം വളർത്തുന്നു.

നിങ്ങൾ സംരക്ഷിച്ചതല്ല, പിയറുകൾ ചർച്ച ചെയ്തതാണ് പരിശോധിക്കേണ്ടത്. ASA-യിലെ ലോക്കൽ, റിമോട്ട് നെറ്റ്വർക്ക് പട്ടിക ഉദ്ദേശ്യമാണ്; CHILD SA-കൾ ഫലമാണ്.

ഒരു ജോഡി കാണാതെ വരുമ്പോൾ, പരിഹാരം സാധാരണയായി ഒരു access-list വരിയോ സെലക്ടർ എൻട്രിയോ ആണ്, പുതിയ ടണലല്ല.

ഒബ്ജക്റ്റിനെ പേരിടുന്ന കമാൻഡുകൾ കൊണ്ട് പരിശോധിക്കുക

ASA-യിൽ IKE സെഷൻ, തുടർന്ന് IPsec SA-കൾ, തുടർന്ന് സെലക്ടർ ജോഡികൾ സ്ഥിരീകരിക്കുക. ഓരോ കമാൻഡും വ്യത്യസ്ത ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു, ആദ്യത്തേത് മാത്രം പ്രവർത്തിപ്പിക്കുന്നതാണ് «ടണൽ ഉയർന്നിരിക്കുന്നു» എന്നതിനെ തെറ്റായ നിഗമനമാക്കുന്നത്. പട്ടികയിൽ ആദ്യം വരുന്ന SA-യ്ക്കല്ല, നിങ്ങൾ യഥാർത്ഥത്തിൽ കോൺഫിഗർ ചെയ്ത പിയറിനുള്ള ഔട്ട്പുട്ട് വായിക്കുക. Azure വശം അതേ മൂന്ന് ചോദ്യങ്ങൾക്ക് സ്വന്തം കാഴ്ചപ്പാടിൽ ഉത്തരം നൽകുന്നു.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

തുടർന്ന് az network vpn-connection show --name <connection> --query connectionStatus ഉപയോഗിച്ച് Azure-യോട് കണക്ഷൻ നില ചോദിക്കുക. ഡാറ്റ പാതയിൽ പൂജ്യം ബൈറ്റുകളോടെ «കണക്ട് ചെയ്തിരിക്കുന്നു» എന്നത് റൂട്ടിംഗ് പ്രശ്നമല്ല, സെലക്ടർ പ്രശ്നമാണ്.

ഓരോ ജോഡിക്കും ഒരു അനുവദനീയമായ ഫ്ലോ പരീക്ഷിക്കുക, എതിർവശത്ത് കാണുന്ന സ്രോതസ്സ് വിലാസം പരിശോധിക്കുക, നിരസിക്കേണ്ട ഒരു റിസോഴ്സ് പരീക്ഷിക്കുക. ആ അവസാന പരീക്ഷണം മാത്രമാണ് അതിർത്തി ഇപ്പോഴും നിലനിൽക്കുന്നു എന്ന് തെളിയിക്കുന്നത്.

എൻക്രിപ്ഷൻ പരിധി ആക്സസ് അനുമതിയിൽ നിന്ന് വേർതിരിച്ച് നിർത്തുക

വിശാലമായ സെലക്ടർ അനുമതിയല്ല. പിന്തുണയ്ക്കുന്ന ലേയൗട്ട് ആപ്ലിക്കേഷൻ പോളിസിയേക്കാൾ വിശാലമാണെങ്കിൽ, ഇടുങ്ങിയ സേവനങ്ങൾ firewall നിയമങ്ങളിൽ നിർത്തി എൻക്രിപ്ഷൻ പരിധി ഉണ്ടായിരിക്കേണ്ടിടത്ത് നിർത്തുക.

Azure വർക്ക്ലോഡ് റൂട്ടുകളും ഓൺ-പ്രെമിസസ് റിട്ടേൺ റൂട്ടുകളും വെവ്വേറെ അവലോകനം ചെയ്യുന്നു. BGP പ്രഖ്യാപനങ്ങൾ, സ്റ്റാറ്റിക് നെറ്റ്വർക്ക് പരിധി, ഉപയോക്തൃ നിർവചിത റൂട്ടുകൾ എന്നിവ ഒരേ പാത വിവരിക്കണം, അവയിലൊന്നും പിയർ ട്രാൻസ്പോർട്ട് ആവർത്തിച്ച് പിടിച്ചെടുക്കാൻ പാടില്ല.

റോൾബാക്കും അത് പ്രവർത്തിച്ചു എന്ന തെളിവും

സെലക്ടറുകൾ മാറ്റുന്നതിന് മുമ്പ് മുൻ പ്രവർത്തന കോൺഫിഗറേഷൻ സൂക്ഷിക്കുക, അത് തിരികെ കൊണ്ടുവരുന്ന ഒരു കമാൻഡ് അറിയുക. ASA-യിൽ അത് സംരക്ഷിച്ച പകർപ്പും അനുബന്ധ പുനഃസ്ഥാപന പാതയുമാണ്, നിങ്ങൾ എന്ത് തിരുത്തി എന്നതിന്റെ ഓർമയല്ല. മാറ്റം ഇപ്പോഴും സങ്കൽപ്പികമായിരിക്കുമ്പോൾ പുനഃസ്ഥാപന കമാൻഡ് മാറ്റ ടിക്കറ്റിൽ എഴുതുക. തുടർന്ന് അതേ മൂന്ന് പരിശോധനകൾ വീണ്ടും പ്രവർത്തിപ്പിക്കുക: IKE നില, IPsec SA ജോഡികൾ, ഓരോ ജോഡിക്കും ഒരു അനുവദനീയമായ ഫ്ലോ.

പുനഃസ്ഥാപിച്ചതിന് ശേഷവും ജോഡി പരാജയപ്പെടുന്നുവെങ്കിൽ, മാറ്റമായിരുന്നില്ല കാരണം, രണ്ടാമത്തെ തടസ്സം നിങ്ങൾ ഒഴിവാക്കി.