Cisco ASA-ийн tunneled өгөгдмөл маршрут: энэ нь хэзээ үнэхээр хэрэгжих вэ

Алсын хандалтын хэрэглэгч ASA-гийн цаана юунд ч хүрч чадахгүй байхад мөн сервер дотоод LAN-аас ирэх ping-д хариулдаг. Туннель босч, клиент pool-оос хаяг авдаг ч пакет интернетийн өгөгдмөл маршрутаар гарсаар байна эсвэл алга болно. Энэ хэв маяг нь ихэвчлэн тайлагдсан трафик өөрийн маршрутыг олж чадаагүй, энгийн өгөгдмөл рүү унасан гэсэн үг. Засвар нь өөр нэг NAT дүрэм биш; засвар нь tunneled өгөгдмөл маршрут юм.

Конфигурацаас биш, шинж тэмдгээс эхэл

Пакет хаашаа явж байгааг хар, хаашаа явна гэж хүлээснээ биш. Амжилтгүй сессийн үед гадаад интерфейс дээр авсан capture нь тайлагдсан пакетыг pool-ийн хаяг хэвээр ISP-ийн gateway руу явж байгааг харуулна, эсвэл хайлт амжилтгүй болсон тул юу ч харуулахгүй. Аль ч тохиолдолд туннель нь асуудал биш.

show vpn-sessiondb-д туннель эрүүл харагдана, яг үүнээс болоод хүмүүс IKE-г debug хийсээр байдаг.

Үүнийг ACL-ийн уналтаас ялгаатай нь чиглэл юм. ACL-ийн уналт бүртгэгдэж, тоологддог бол байхгүй маршрут тохирох бичлэггүй хайлтын алдаа үүсгэдэг. Клиентийн очих газрын хувьд show route ажиллуулж, ASA үнэхээр юу сонгосныг унш, өгөгдмөл маршрут сонгогдсон эсэх, аль нь сонгогдсоныг оруулаад.

tunneled хайлт юугаараа ялгаатай вэ

Cisco-гийн ASA 9.23 статик маршрутжуулалтын гарын авлага статик эсвэл сурсан маршрутгүй тайлагдсан VPN трафикт зориулсан тусдаа өгөгдмөл маршрутыг тодорхойлдог. tunneled түлхүүр үг тэр маршрутыг тэмдэглэдэг тул тайлагдсан пакет ASA өөрийн тээвэрт ашигладаг дараагийн хопоос өөр хоп руу бууж болно. Илүү тодорхой маршрутууд илүү гарсаар байдаг, тиймээс клиент дотоод gateway-аар 10.0.0.0/8-д хүрч, бусад бүхнийг алдаж болно.

Хамгийн бага тохиргоо нь өөр өөр дараагийн хоп бүхий хоёр өгөгдмөл маршрутыг хадгална. Нэг нь ASA-ийн өөрийн трафикийг, нөгөө нь илүү сайн маршрутгүй тайлагдсан трафикийг зөөнө. Хоёр дараагийн хоп хоёулаа та тэдгээрийг холбож буй интерфейсээс хүрч болохуйц байх ёстой.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Хэрэв хоёр өгөгдмөл маршрут ижил дараагийн хоп руу зааж байвал түлхүүр үг юу ч өөрчлөхгүй, шинж тэмдэг ч хөдлөхгүй.

Ажиллах эсэхийг шийдэх хязгаарлалтууд

Мөн гарын авлага зөвхөн нэг tunneled өгөгдмөл маршрутыг зөвшөөрч, түүнд ECMP дэмжигдэхгүй гэж заасан тул та тэр замаар ачааллыг хувааж чадахгүй. Мөн маршрут хянах, урвуу замын шалгалт, зарим inspection болон удирдлагын урсгалтай холбоотой хязгаарлалтуудыг жагсаасан. Энэ боломжийг тойрч зохион бүтээхийнхээ өмнө тэдгээрийг суулгасан release-тэйгээ харьцуулан унш. Тэдгээрийг үл тоомсорлосон загвар ихэвчлэн хаа сайгүй биш, нэг тодорхой цэг дээр бүтэлгүйтдэг, тиймээс шинж тэмдэг тасалдалтай мэт харагддаг.

Асимметрик загварт урвуу замын шалгалт илүү хатдаг. Хэрэв хариулт ASA-гийн хүлээж буй интерфейсээс өөр интерфейсээр ирэх бол пакет маршрутжуулалт чухал болохоос өмнө хаягдана. Шалгалтыг унтрааж дараагийн хопыг албадахын оронд топологи эсвэл буцах замыг зас.

Маршрут хянах нь тусдаа урхи: хянагдаж буй объект ихэвчлэн энгийн өгөгдмөл маршрутыг хамгаалдаг, tunneled-ыг биш.

Түлхүүр үг юу хийдэггүй вэ

Энэ нь ASA IKE байгуулахад ашигладаг эх хаягийг сонгодоггүй. Туннелийн гадаад төгсгөлийн цэг нь платформын өөрийн интерфейс, эх сонголтыг дагадаг бөгөөд tunneled өгөгдмөл маршрут тэр шийдвэрт оролцдоггүй. Үүнийг өөрчлөх нь буруу хаягаас эхэлсэн phase 1-ийг засахгүй.

Энэ нь дараагийн хопыг proxy болгохгүй. Хэрэв очих газар HTTP CONNECT солилцоо хүлээж байвал proxy хост руу түүхий IP пакет илгээх нь тэдгээрийг маршрутжуулдаггүй хост л өгнө. Оронд нь клиентийн дэмждэг proxy механизмыг тохируул.

Мөн энэ нь доошоо дамжуулалт үүсгэхгүй. Таны зааж буй gateway-д VPN pool руу буцах маршрут, мөн загвар шаардсан газарт эх хаягийн хөрвүүлэлт хэрэгтэй хэвээр.

Замыг эхнээс нь дуустал шалга

Маршрут суусны дараа дөрвөн зүйлийг дараалан шалга: pool-д хэрэгтэй очих газрын хувьд show route, шинэ дараагийн хоп руу чиглэсэн интерфейс дээр capture, gateway дээр өөрөө capture, мөн тэр gateway-аас pool-ийн хаяг руу буцах зам. Эхний хоёр нь ASA тэр замыг сонгосныг, сүүлийн хоёр нь тэнд хэн нэгэн хариулж байгааг нотолно.

Хэрэв gateway хариулдаг ч клиент хэзээ ч хариулт хардаггүй бол маршрутын хүснэгтэд дахин хүрэхийн өмнө эх хаягийн хөрвүүлэлт болон буцах маршрутыг хар.

Та шалгасан release-ээ тэмдэглэ, учир нь хязгаарлалтын жагсаалт хувилбараас хамааралтай бөгөөд нэг салбарт ажилладаг загвар нөгөөд өөр зам шаардаж болно. Тэр тэмдэглэл конфигурацын хэсгээс илүү урт насална.