Cisco ASA ke Azure VPN: Pasangan Awalan Pemilih Trafik

Tunnel naik, IKE kelihatan sihat, tetapi tiada apa yang melaluinya. Itulah bentuk biasa masalah pemilih ASA ke Azure, dan sebab itulah saya menulis kontrak sebelum menyentuh mana-mana konsol. Kontrak itu empat perkara: objek yang mengenal pasti setiap rakan, model sambungan, pasangan awalan yang tepat, dan pengesahan yang membuktikan setiap pasangan. Salah perkara ini dan setiap arahan kemudian akan menyahpepijat konfigurasi yang tidak sepatutnya anda bina. Runbook ini ialah urutan yang saya gunakan, dengan arahan yang menunjukkan objek mana yang sebenarnya salah.

Tulis empat objek sebelum anda mengkonfigurasi

Mulakan dengan keluaran dan platform ASA, titik akhir awam, jenis dan SKU gateway Azure VPN, dan gateway rangkaian setempat yang mewakili pihak anda. Empat nama itu ialah kosa kata untuk semua yang berikutnya, dan setiap satu mempunyai pemilik berbeza apabila sesuatu rosak.

Jika dua daripadanya masih tekaan, berhenti. Senarai awalan gateway rangkaian setempat yang salah bukan masalah penalaan.

Pilih satu model sambungan dan berhenti mencampur templat

Reka bentuk crypto map dan reka bentuk tunnel interface ialah konfigurasi berbeza, dan templat untuk satu tidak menjadi sah untuk yang lain dengan menyunting alamat rakan. Catat yang mana anda bina sebelum menampal apa-apa, kerana ketidakpadanan kemudian muncul sebagai masalah pemilih dan bukan ralat konfigurasi. Panduan interoperabiliti ASA Microsoft merangkumi kedua-dua corak dan menyatakan model gateway Azure yang diandaikan setiap satu. Jika nota anda tidak menamakan model, anda belum ada reka bentuk.

Gateway Azure berasaskan laluan dengan pemilih trafik berasaskan dasar ialah pilihan khusus yang didokumenkan, bukan lalai. Jika reka bentuk anda bergantung padanya, reka bentuk itu mesti menyatakannya, kerana model pemilih berasaskan laluan lalai berkelakuan berbeza di sebelah Azure.

Had versi juga tergolong dalam kontrak. Laporan lapangan lama tentang had domain penyulitan ialah titik data tentang keluaran tertentu, bukan sifat kekal setiap ASA.

Senaraikan pasangan awalan, bukan agregat

Tulis matriks. A dan B di premis ke X dan Y Azure ialah empat pasangan, dan setiap satu memerlukan liputan atau pengecualian eksplisit. Menggabungkan A dan B menjadi satu agregat juga merangkumi apa sahaja yang berada di antaranya, dan begitulah reka bentuk secara senyap menumbuhkan lubang.

Semak apa yang dirundingkan rakan, bukan apa yang anda simpan. Senarai rangkaian setempat dan jauh pada ASA ialah niat; CHILD SA ialah hasilnya.

Apabila pasangan tiada, pembetulan biasanya baris access-list atau entri pemilih, bukan tunnel baharu.

Sahkan dengan arahan yang menamakan objek

Pada ASA sahkan sesi IKE, kemudian SA IPsec, kemudian pasangan pemilih. Setiap arahan menjawab soalan berbeza, dan menjalankan yang pertama sahaja ialah cara «tunnel sudah naik» menjadi kesimpulan palsu. Baca output untuk rakan yang benar-benar anda konfigurasikan, bukan SA yang kebetulan pertama dalam senarai. Sebelah Azure menjawab tiga soalan yang sama dari sudut pandangannya.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Kemudian tanya Azure tentang keadaan sambungan dengan az network vpn-connection show --name <connection> --query connectionStatus. Bersambung dengan sifar bait dalam laluan data ialah masalah pemilih, bukan masalah penghalaan.

Uji satu aliran dibenarkan bagi setiap pasangan, periksa alamat sumber yang dilihat di sebelah jauh, dan cuba satu sumber yang sepatutnya ditolak. Ujian terakhir itu sahaja yang membuktikan sempadan masih wujud.

Asingkan skop penyulitan daripada kebenaran akses

Pemilih luas bukan kebenaran. Jika susun atur yang disokong lebih luas daripada dasar aplikasi, kekalkan perkhidmatan sempit dalam peraturan firewall dan biarkan skop penyulitan di tempatnya.

Laluan beban kerja Azure dan laluan pulangan di premis disemak secara berasingan. Pengumuman BGP, skop rangkaian statik dan laluan ditentukan pengguna semuanya mesti menerangkan laluan yang sama, dan tiada satu pun boleh menangkap pengangkutan rakan secara rekursif.

Gulung semula dan bukti ia berjaya

Simpan konfigurasi berjalan sebelumnya sebelum menukar pemilih, dan ketahui satu arahan yang memulihkannya. Pada ASA itu bermaksud salinan tersimpan dan laluan pemulihan yang sepadan, bukan ingatan tentang apa yang anda sunting. Tulis arahan pemulihan dalam tiket perubahan semasa perubahan masih hipotetikal. Kemudian jalankan semula tiga semakan yang sama: keadaan IKE, pasangan SA IPsec, satu aliran dibenarkan bagi setiap pasangan.

Jika pasangan masih gagal selepas pemulihan, perubahan itu bukan puncanya, dan anda baru sahaja menyelamatkan diri daripada gangguan kedua.