Cisco ASA-аас Azure VPN хүртэл: трафик селекторын префиксийн хосууд

Туннель босох боловч IKE эрүүл харагдаж байхад дотор нь юу ч нэвтрэхгүй байна. Энэ бол ASA-аас Azure руу чиглэсэн селекторын асуудлын ердийн хэлбэр бөгөөд ийм учраас би хоёр консолын аль нэгэнд хүрэхээс өмнө гэрээг бичдэг. Гэрээ нь дөрвөн зүйлээс бүрдэнэ: тал бүрийг тодорхойлох объектууд, холболтын загвар, яг префиксийн хосууд, хос бүрийг нотлох шалгалт. Эдгээрийг буруу хийвэл дараагийн бүх команд нь таны барих ёсгүй байсан тохиргоог дибаг хийнэ. Энэ гарын авлага бол миний хэрэглэдэг дараалал бөгөөд аль объект үнэхээр буруу байгааг харуулах командуудтай хамт.

Тохируулахаас өмнө дөрвөн объектыг бичиж аваарай

ASA-ийн хувилбар ба платформ, нийтийн төгсгөлийн цэг, Azure VPN гарцын төрөл ба SKU, мөн таны талыг төлөөлөх локал сүлжээний гарцаас эхэл. Эдгээр дөрвөн нэр нь дараагийн бүх зүйлийн үгсийн сан бөгөөд ямар нэгэн зүйл эвдрэхэд тус бүр өөр хариуцагчтай.

Хэрэв тэдгээрийн хоёр нь одоо ч таамаг бол, зогсоорой. Локал сүлжээний гарцын буруу префиксийн жагсаалт нь тохируулгын асуудал биш.

Нэг холболтын загвар сонгоод загваруудыг холихоо болино уу

crypto map загвар ба tunnel interface загвар нь өөр өөр тохиргоо бөгөөд нэгнийх нь загвар нөгөөдөө хамтрагчийн хаягийг засахад хүчинтэй болохгүй. Ямар нэгэн зүйл наахаасаа өмнө алийг нь барьж байгаагаа тэмдэглэ, учир нь зөрүү нь дараа нь тохиргооны алдаа биш, селекторын асуудал болж илэрдэг. Microsoft-ын ASA-ийн харилцан ажиллагааны гарын авлага хоёр загварыг хоёуланг нь хамарч, аль нь ямар Azure гарцын загварыг шаарддагийг заадаг. Хэрэв тэмдэглэлд загварын нэр байхгүй бол загвар хараахан алга.

Бодлогод суурилсан трафик селектор бүхий маршрутад суурилсан Azure гарц нь тодорхой баримтжуулсан сонголт бөгөөд анхдагч биш. Хэрэв таны загвар үүнээс хамаардаг бол загвар нь үүнийг хэлэх ёстой, учир нь анхдагч маршрутын селекторын загвар Azure талд өөрөөр ажилладаг.

Хувилбарын хязгаарлалтууд ч гэрээнд багтана. Шифрлэлтийн домэйны хязгаарын тухай хуучин талбарын тайлан нь тодорхой хувилбаруудын тухай өгөгдөл бөгөөд ASA бүрийн байнгын шинж биш.

Агрегатуудыг биш, префиксийн хосуудыг жагсаа

Матрицыг бич. Локал A ба B-ээс Azure X ба Y руу дөрвөн хос байх бөгөөд тус бүрд нь хамрах хүрээ эсвэл тодорхой хасалт хэрэгтэй. A ба B-г нэг агрегат болгон нэгтгэхэд тэдний хооронд байгаа бүх зүйл ч багтах бөгөөд ингэснээр загвар чимээгүйхэн нүх ургуулдаг.

Хадгалсан зүйлээ биш, талууд юу тохиролцсоныг шалга. ASA дээрх локал ба алсын сүлжээний жагсаалт бол санаа; CHILD SA бол үр дүн.

Хос дутуу үед засвар нь ихэвчлэн access-list мөр эсвэл селекторын бичлэг бөгөөд шинэ туннель биш.

Объектыг нэрлэсэн командуудаар шалга

ASA дээр IKE сессийг, дараа нь IPsec SA-уудыг, дараа нь селекторын хосуудыг баталгаажуул. Команд бүр өөр асуултад хариулдаг бөгөөд зөвхөн эхнийхийг ажиллуулснаар «туннель боссон» гэдэг нь худал дүгнэлт болдог. Жагсаалтын эхэнд байгаа SA биш, таны үнэхээр тохируулсан хамтрагчийн гаралтыг унш. Azure тал мөн адил гурван асуултад өөрийн өнцгөөс хариулдаг.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Дараа нь az network vpn-connection show --name <connection> --query connectionStatus-оор Azure-аас холболтын төлөвийг асуу. Өгөгдлийн замд тэг байттай «холбогдсон» нь чиглүүлэлтийн биш, селекторын асуудал.

Хос бүрд нэг зөвшөөрөгдсөн урсгалыг туршиж, нөгөө талд харагдах эх хаягийг шалгаж, татгалзах ёстой нэг нөөцийг турш. Зөвхөн тэр сүүлийн туршилт л хил хязгаар одоо ч байгааг нотолдог.

Шифрлэлтийн хүрээг нэвтрэх зөвшөөрлөөс тусдаа байлга

Өргөн селектор бол зөвшөөрөл биш. Хэрэв дэмжигдсэн зохион байгуулалт програмын бодлогоос өргөн бол нарийн үйлчилгээг firewall дүрэмд үлдээж, шифрлэлтийн хүрээг байх ёстой газарт нь үлдээ.

Azure ажлын ачааллын маршрут ба локал буцах маршрутыг тусад нь хянадаг. BGP зарлал, статик сүлжээний хүрээ, хэрэглэгчийн тодорхойлсон маршрутууд ижил замыг дүрслэх ёстой бөгөөд тэдгээрийн аль нь ч хамтрагчийн тээврийг рекурсив байдлаар барьж болохгүй.

Буцаалт ба түүний ажилласан нотолгоо

Селекторуудыг өөрчлөхөөс өмнө өмнөх ажиллаж байсан тохиргоог хадгалж, түүнийг буцаах нэг командыг мэд. ASA дээр энэ нь хадгалсан хуулбар ба тохирох сэргээх зам бөгөөд юу засснаа санах биш. Өөрчлөлт одоо ч таамаглал байх үед сэргээх командыг өөрчлөлтийн тасалбарт бич. Дараа нь мөн адил гурван шалгалтыг дахин ажиллуул: IKE төлөв, IPsec SA хосууд, хос бүрд нэг зөвшөөрөгдсөн урсгал.

Хэрэв сэргээсний дараа ч хос бүтэлгүйтвэл өөрчлөлт нь шалтгаан биш байсан бөгөөд та хоёр дахь тасалдлаас мултарлаа.