Cara memodelkan aliran VPN dengan ASA packet-tracer

Packet-tracer pada ASA menjawab soalan sempit: adakah paket ini, yang masuk di sini dengan tuple ini, akan dibenarkan, dan ke mana ia akan pergi. Ia tidak menjawab sama ada hujung jauh menerima apa-apa. Kesilapan biasa ialah memberi tuple IKE luar sedangkan perkara yang ingin diuji ialah aplikasi yang bergerak di dalam terowong. Betulkan tuple dahulu, baca fasanya, kemudian dapatkan bukti sebenar untuk semua yang tidak dapat dilihat oleh simulator.

Panduan di bawah menganggap ACL, peraturan NAT dan konteks tunnel-group berada di hadapan anda. Tanpanya output menerangkan dasar yang tidak dapat anda periksa.

Langkah 1: tulis aliran dalam dengan kata-kata mudah

Terangkan aplikasi sebelum menaip apa-apa. Hos di dalam yang membuka SSH ke pelayan di belakang getaway jauh ialah satu aliran TCP dalam dengan port sumber tertentu. Itulah aliran yang dinilai oleh ACL dan penapis VPN, jadi itulah aliran yang anda taip.

Tulis sebagai satu ayat, kemudian terjemah medan demi medan:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Langkah 2: pilih ingress dan arah

Ingress ialah antara muka tempat paket tiba, bukan antara muka yang dilepasinya keluar. Bagi hos LAN yang memulakan, ia ialah antara muka inside. Bagi paket balasan sesi yang sama, ia ialah antara muka outside, dan tuple diterbalikkan. Menaip destinasi sebagai sumber ialah cara kedua paling biasa untuk memperoleh ALLOW yang meyakinkan tetapi tidak relevan.

Port juga mempunyai arah. Port perkhidmatan berada dalam medan destinasi bagi permintaan yang dimulakan, dan port efemeral klien berada dalam medan sumber. Model dengan destinasi TCP 500 menerangkan aplikasi TCP yang mendengar pada 500; ia tidak menjadi ujian IKE hanya kerana nombor itu muncul dalam arahan.

Langkah 3: baca fasa mengikut urutan

Setiap fasa dalam output ialah keputusan dengan pemilik: carian laluan, ACL, NAT, kemudian pemilihan VPN atau terowong. Baca mengikut urutan bercetak dan berhenti pada fasa pertama yang tidak selari dengan reka bentuk.

NAT sering memerangkap orang. Jika sumber terjemahan jatuh di luar crypto ACL yang memilih trafik untuk terowong, aliran boleh dibenarkan dan tidak pernah dikapsulkan. Surih mencetak alamat terjemahan, jadi bandingkan dengan trafik menarik terowong, bukan dengan alamat asal.

Langkah 4: semak lencongan mana yang anda pilih

Bentuk detailed menerima pilihan yang melangkau semakan, dan Cisco mendokumenkan pilihan bypass-checks yang meliputi ACL, penapis VPN, uRPF dan semakan pemalsuan IPsec. ALLOW yang diperoleh dengan lencongan itu mengatakan laluan dan NAT akan berfungsi, bukan bahawa dasar akan menerima paket sebenar. Catat pilihan di sebelah hasil.

Jika anda memerlukan jawapan dasar, jalankan tanpa lencongan. Jika anda mengasingkan soalan penghalaan, jalankan dengannya dan label hasil sebagai jawapan penghalaan.

Langkah 5: tutup jurang dengan pertukaran sebenar

Kebenaran tersimulasi berhenti di ASA. Sama ada getaway jauh menyahsulit paket, sama ada pelayan menerima sambungan, dan sama ada balasan kembali ialah pemerhatian berasingan. Gunakan pembilang titik akhir atau tangkap sempit pada laluan yang diluluskan.

Sesetengah pilihan trace dan replay menghantar paket atau menyimpan keadaan. Ikut tingkah laku berdokumen untuk keluaran anda dan prosedur diagnostik anda yang diluluskan daripada menganggap setiap varian sebagai carian baca sahaja.

Apa yang surih masih tidak dapat beritahu anda

Simpan empat perkara dalam satu nota: tuple, peraturan NAT yang sepadan, terowong atau dasar yang sepatutnya membawa aliran, dan pemerhatian khusus arah. Tanpanya jurutera kemudian tidak dapat memisahkan keputusan dasar tempatan daripada satah kawalan yang mantap dan daripada perkhidmatan yang berfungsi. Kegagalan pertama yang diikuti kejayaan juga bukan bukti bahawa terowong harus naik di antaranya; catat fasa dan perubahan keadaan.

Mulakan dengan tuple dalam, berhenti pada fasa pertama yang bercanggah dengan reka bentuk, dan hanya kemudian capai bukti titik akhir. Surih ialah orakel dasar, bukan resit penghantaran.