ASA packet-tracer ഉപയോഗിച്ച് VPN ഫ്ലോ എങ്ങനെ മോഡൽ ചെയ്യാം

ASA-യിലെ packet-tracer സങ്കുചിതമായ ഒരു ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു: ഈ പാക്കറ്റ്, ഇവിടെ ഈ ട്യൂപ്പിളുമായി പ്രവേശിക്കുമ്പോൾ, അനുവദിക്കപ്പെടുമോ, എവിടേക്ക് പോകും। ദൂരെയുള്ള അറ്റം എന്തെങ്കിലും സ്വീകരിക്കുന്നുണ്ടോ എന്ന് അത് ഉത്തരം നൽകുന്നില്ല। സാധാരണ തെറ്റ്, ടണലിനുള്ളിൽ സഞ്ചരിക്കുന്ന അപ്ലിക്കേഷൻ പരീക്ഷിക്കാനാണെങ്കിൽ പുറത്തെ IKE ട്യൂപ്പിൾ നൽകുന്നതാണ്। ആദ്യം ട്യൂപ്പിൾ ശരിയാക്കുക, ഘട്ടങ്ങൾ വായിക്കുക, എന്നിട്ട് സിമുലേറ്ററിന് കാണാനാവാത്ത എല്ലാത്തിനും യഥാർത്ഥ തെളിവ് ശേഖരിക്കുക।

താഴെയുള്ള വിശദീകരണം ACL, NAT നിയമം, tunnel-group സന്ദർഭം നിങ്ങളുടെ മുന്നിലുണ്ടെന്ന് അനുമാനിക്കുന്നു। അവയില്ലാതെ ഔട്ട്പുട്ട് നിങ്ങൾക്ക് പരിശോധിക്കാനാവാത്ത ഒരു നയം വിവരിക്കുന്നു।

ഘട്ടം 1: ആന്തരിക ഫ്ലോ ലളിതമായ വാക്കുകളിൽ എഴുതുക

എന്തും ടൈപ്പ് ചെയ്യുന്നതിന് മുമ്പ് അപ്ലിക്കേഷൻ വിവരിക്കുക। ഉള്ളിലെ ഒരു ഹോസ്റ്റ് ദൂരെയുള്ള ഗേറ്റ്വേയ്ക്ക് പിന്നിലെ സെർവറിലേക്ക് SSH തുറക്കുന്നത്, പ്രത്യേക സോഴ്സ് പോർട്ടുള്ള ഒരു ആന്തരിക TCP ഫ്ലോയാണ്। ACL-ഉം VPN ഫിൽട്ടറും വിലയിരുത്തുന്നത് ആ ഫ്ലോയാണ്, അതിനാൽ നിങ്ങൾ ടൈപ്പ് ചെയ്യേണ്ടതും ആ ഫ്ലോയാണ്।

അത് ഒരു വാക്യമായി എഴുതുക, എന്നിട്ട് ഫീൽഡ് തോറും വിവർത്തനം ചെയ്യുക:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

ഘട്ടം 2: ഇൻഗ്രെസ്സും ദിശയും തിരഞ്ഞെടുക്കുക

ഇൻഗ്രെസ് പാക്കറ്റ് എത്തുന്ന ഇന്റർഫേസാണ്, അത് വിടുന്ന ഇന്റർഫേസല്ല। ബന്ധം ആരംഭിക്കുന്ന LAN ഹോസ്റ്റിന് അത് inside ഇന്റർഫേസാണ്। അതേ സെഷന്റെ മടങ്ങിവരുന്ന പാക്കറ്റിന് അത് outside ഇന്റർഫേസാണ്, ട്യൂപ്പിൾ തിരിയുന്നു। ലക്ഷ്യം സോഴ്സായി എഴുതുന്നത് വിശ്വസനീയമെങ്കിലും അപ്രസക്തമായ ALLOW നേടാനുള്ള രണ്ടാമത്തെ സാധാരണ വഴിയാണ്।

പോർട്ടുകൾക്കും ദിശയുണ്ട്। ആരംഭിച്ച അഭ്യർത്ഥനയിൽ സേവന പോർട്ട് ലക്ഷ്യ ഫീൽഡിലാണ്, ക്ലയന്റിന്റെ താൽക്കാലിക പോർട്ട് സോഴ്സ് ഫീൽഡിലാണ്। TCP ലക്ഷ്യം 500 ഉള്ള മോഡൽ 500-ൽ കേൾക്കുന്ന TCP അപ്ലിക്കേഷനെ വിവരിക്കുന്നു; കമാൻഡിൽ സംഖ്യ കാണുന്നതുകൊണ്ട് അത് IKE പരീക്ഷയാകുന്നില്ല।

ഘട്ടം 3: ഘട്ടങ്ങൾ ക്രമത്തിൽ വായിക്കുക

ഔട്ട്പുട്ടിലെ ഓരോ ഘട്ടവും ഉടമയുള്ള തീരുമാനമാണ്: റൂട്ട് തിരയൽ, ACL, NAT, പിന്നെ VPN അല്ലെങ്കിൽ ടണൽ തിരഞ്ഞെടുപ്പ്। അച്ചടിച്ച ക്രമത്തിൽ അവ വായിച്ച് ഡിസൈനുമായി പൊരുത്തപ്പെടാത്ത ആദ്യ ഘട്ടത്തിൽ നിർത്തുക।

NAT ആളുകളെ കുരുക്കുന്നു। വിവർത്തനം ചെയ്ത സോഴ്സ് ടണലിനുള്ള ട്രാഫിക് തിരഞ്ഞെടുക്കുന്ന crypto ACL-ന് പുറത്തായാൽ, ഫ്ലോ അനുവദിക്കപ്പെടാം, ഒരിക്കലും എൻകാപ്സുലേറ്റ് ചെയ്യപ്പെടാതിരിക്കാം। ട്രെയ്സ് വിവർത്തനം ചെയ്ത വിലാസം അച്ചടിക്കുന്നു, അതിനാൽ അതിനെ യഥാർത്ഥ വിലാസവുമായല്ല, ടണലിന്റെ താൽപ്പര്യമുള്ള ട്രാഫിക്കുമായി താരതമ്യം ചെയ്യുക।

ഘട്ടം 4: ഏത് ബൈപാസുകൾ തിരഞ്ഞെടുത്തുവെന്ന് പരിശോധിക്കുക

detailed രൂപം പരിശോധനകൾ ഒഴിവാക്കുന്ന ഓപ്ഷനുകൾ സ്വീകരിക്കുന്നു, ACL, VPN ഫിൽട്ടർ, uRPF, IPsec സ്പൂഫ് പരിശോധനകൾ ഉൾക്കൊള്ളുന്ന bypass-checks ഓപ്ഷൻ Cisco രേഖപ്പെടുത്തുന്നു। അവ ഒഴിവാക്കി ലഭിച്ച ALLOW, റൂട്ടും NAT-ഉം പ്രവർത്തിക്കുമെന്ന് പറയുന്നു, നയം യഥാർത്ഥ പാക്കറ്റ് സ്വീകരിക്കുമെന്നല്ല। ഫലത്തിനടുത്ത് ഓപ്ഷനുകൾ രേഖപ്പെടുത്തുക।

നയത്തിന്റെ ഉത്തരം വേണമെങ്കിൽ ബൈപാസുകളില്ലാതെ പ്രവർത്തിപ്പിക്കുക। റൂട്ടിംഗ് ചോദ്യം വേർതിരിക്കുകയാണെങ്കിൽ അവയോടൊപ്പം പ്രവർത്തിപ്പിച്ച് ഫലം റൂട്ടിംഗ് ഉത്തരമായി ലേബൽ ചെയ്യുക।

ഘട്ടം 5: യഥാർത്ഥ കൈമാറ്റത്തോടെ വിടവ് അടയ്ക്കുക

സിമുലേറ്റഡ് അനുമതി ASA-യിൽ നിർത്തുന്നു। ദൂരെയുള്ള ഗേറ്റ്വേ പാക്കറ്റ് ഡീക്രിപ്റ്റ് ചെയ്തുവോ, സെർവർ ബന്ധം സ്വീകരിച്ചുവോ, മറുപടി തിരികെ വന്നുവോ എന്നത് വെവ്വേറെ നിരീക്ഷണങ്ങളാണ്। എൻഡ്പോയിന്റ് കൗണ്ടറുകൾ ഉപയോഗിക്കുക അല്ലെങ്കിൽ അംഗീകൃത പാതയിൽ ഒരു ഇടുങ്ങിയ ക്യാപ്ചർ।

ചില trace, replay ഓപ്ഷനുകൾ പാക്കറ്റുകൾ അയയ്ക്കുകയോ അവസ്ഥ നിലനിർത്തുകയോ ചെയ്യുന്നു। ഓരോ രൂപഭേദവും വായന-മാത്ര അന്വേഷണമായി കണക്കാക്കുന്നതിനുപകരം നിങ്ങളുടെ റിലീസിനും അംഗീകൃത ഡയഗ്നോസ്റ്റിക് നടപടിക്രമത്തിനും രേഖപ്പെടുത്തിയ പെരുമാറ്റം പിന്തുടരുക।

ട്രെയ്സിന് ഇപ്പോഴും പറയാനാവാത്തത്

ഒരു കുറിപ്പിൽ നാല് കാര്യങ്ങൾ സൂക്ഷിക്കുക: ട്യൂപ്പിൾ, പൊരുത്തപ്പെടുന്ന NAT നിയമം, ഫ്ലോ വഹിക്കേണ്ട ടണലോ നയമോ, ദിശയ്ക്ക് പ്രത്യേകമായ നിരീക്ഷണം। അവയില്ലാതെ പിന്നീടുള്ള എഞ്ചിനീയർക്ക് പ്രാദേശിക നയ തീരുമാനത്തെ സ്ഥാപിത നിയന്ത്രണ തലത്തിൽ നിന്നും പ്രവർത്തിക്കുന്ന സേവനത്തിൽ നിന്നും വേർതിരിക്കാനാവില്ല। ആദ്യ പരാജയത്തെ തുടർന്നുള്ള വിജയവും ഇടയിൽ ടണൽ ഉയർന്നിരിക്കണമെന്നതിന്റെ തെളിവല്ല; ഘട്ടവും അവസ്ഥാ മാറ്റവും രേഖപ്പെടുത്തുക।

ആന്തരിക ട്യൂപ്പിളിൽ നിന്ന് തുടങ്ങുക, ഡിസൈനിന് വിരുദ്ധമായ ആദ്യ ഘട്ടത്തിൽ നിർത്തുക, എന്നിട്ട് മാത്രം എൻഡ്പോയിന്റ് തെളിവുകളിലേക്ക് എത്തുക। ട്രെയ്സ് നയത്തിന്റെ ഓറക്കിൾ ആണ്, ഡെലിവറി രസീതല്ല।