Relay DHCP tal-ASA fuq VPN minn sit għal sit: gwida pass pass

Ir-relay jaħdem fi tliet stadji, u biss dak tan-nofs jaqsam il-VPN. Klijent ixandar fis-segment tal-fergħa, l-ASA jibdel dak ix-xandir f’talba unicast lis-server DHCP, u s-server iwieġeb lill-indirizz tar-relay u mhux lill-klijent. Għaddi mill-istadji f’dik l-ordni, u ħafna mill-każijiet ta’ «ir-relay miksura» jispiċċaw fi politika nieqsa jew f’linja setroute li nqrat ħażin.

L-ewwel stadju: ippermetti r-relay fuq l-interfaċċa li tħares lejn il-klijent

Fuq l-ASA tal-fergħa, ir-relay hija proprjetà tal-interfaċċa li tħares lejn il-klijenti. Is-server jista’ jiġi ddikjarat globalment bl-interfaċċa aċċessibbli tiegħu, jew taħt dik l-interfaċċa li tħares lejn il-klijent sabiex it-tabella tar-rotta tagħżel il-ħruġ. Dawn iż-żewġ forom mhumiex interkambjabbli, u li tikkopja dik ħażina huwa l-ewwel post fejn gwida tmur ħażin.

Iċċekkja l-konfigurazzjoni li qed taħdem qabel ma tbiddel xejn: liema interfaċċa għandha r-relay attivat, liema forma ta’ server hija preżenti, u jekk setroute huwiex marbut mal-interfaċċa tal-klijent. Jekk l-ASA jmexxi wkoll server DHCP għal segment ieħor, waqaf u aqra l-lista tar-restrizzjonijiet; is-server u r-relay ma jistgħux jiġu attivati flimkien fuq l-istess apparat.

Ir-relay ipoġġi l-indirizz tiegħu li jħares lejn il-klijent fil-qasam tal-indirizz tal-gateway. Huwa dak l-indirizz li s-server se jwieġeb għalih, għalhekk irid ikun aċċessibbli mis-sit imbiegħed permezz tat-tunnel, mhux biss lokalment.

It-tieni stadju: ġġorr it-traffiku li jiġġenera l-ASA mit-tunnel

Dan huwa l-pass li n-nies jaqbżu. VPN minn sit għal sit ibbażata fuq politika normalment tinbena għat-traffiku bejn is-subnets, u t-talba tar-relay tiġġenera l-ASA stess. Jekk il-lista tal-aċċess tat-tunnel u l-mappa kriptografika jaqblu biss ma’ flussi minn host tal-fergħa għas-subnet tas-server, il-pakkett tar-relay jista’ qatt ma jidħol fit-tunnel. Iċċekkja l-lista tal-aċċess fiż-żewġ direzzjonijiet, mhux biss il-linja mill-fergħa għas-server.

Ikkonferma li t-traffiku ta’ interess ikopri s-sors tar-relay tal-ASA u l-indirizz tas-server, u li d-direzzjoni lura hija permessa wkoll. F’disinn ibbażat fuq VTI id-deċiżjoni tar-rotta hija aktar sempliċi, imma l-appoġġ tar-relay fuq VTI wasal fi rilaxx speċifiku; il-gwida DHCP tal-ASA tissemmi 9.14(1), għalhekk iċċekkja l-immaġini qabel ma tikkopja eżempju VTI fuq tagħmir eqdem.

Ping mill-ASA għas-server fih innifsu ftit jipprova. Jista’ jirnexxi permezz ta’ mogħdija oħra, b’indirizz sors differenti, jew taħt politika li l-pakketti tar-relay ma jaqblux magħha.

It-tielet stadju: aqra r-risposta u l-għażla setroute

RFC 2131 jgħid li s-server jibgħat ir-risposta tiegħu lill-indirizz fil-qasam giaddr meta dak il-qasam mhuwiex żero. Għalhekk il-mogħdija lura trid tiġi rrutata lejn l-indirizz tar-relay, u l-politika tat-tunnel trid tippermetti d-direzzjoni mis-server għar-relay. Jekk it-talba għaddiet imma l-offerta qatt ma waslet, hawnhekk għandek tfittex.

Imbagħad ifred żewġ affarijiet li jixbħu lil xulxin. Il-kelma prinċipali setroute tbiddel jew iżżid l-għażla tar-router awtomatiku li l-ASA jagħti lill-klijent. Ma tinstalla ebda rotta fuq l-ASA u ma toħloqx politika VPN. Klijent li jieħu indirizz imma ma jasal għall-ebda x’imkien spiss ikollu problema ta’ setroute jew ta’ ambitu, mhux problema ta’ tunnel. Ipprova dan b’klijent mingħajr gateway statiku u ara liema router awtomatiku jidher fl-offerta.

Aqra l-offerta mill-bidu sat-tmiem: indirizz offrut, maskra, router awtomatiku, DNS u żmien tal-kiri. Imbagħad ħalli l-kiri jiġġedded. Relay li jaħdem darba u jonqos fit-tiġdid normalment ikollu problema ta’ ambitu, kiri jew mogħdija lura li l-ewwel skambju ħeba.

X’niċċekkja qabel ma ngħid li huwa msewwi

Ibda mill-klijent u aqbad ix-xandir, imbagħad ikkonferma li l-ASA għaddieh bl-indirizz tiegħu bħala giaddr. Fuq in-naħa l-imbeigħda, ikkonferma li s-server ra dik it-talba u għażel ambitu li jaqbel mal-fergħa. Lura fil-fergħa, ikkonferma li l-klijent aċċetta l-offerta u jasal għall-gateway tiegħu.

Jekk xi stadju jkun sieket, iċċekkja l-politika jew ir-rotta li taqbel minflok ma żżid dikjarazzjoni oħra tar-relay. Il-konfigurazzjoni tar-relay normalment tkun diġà tajba meta xi ħadd jeskala l-każ; il-politika tat-tunnel jew il-mogħdija lura hija dik li nbidlet.

Ikteb it-tliet stadji fir-rekord tal-bidliet: interfaċċa li tħares lejn il-klijent, politika VPN li tkopri t-traffiku tar-relay, u l-mogħdija lura tas-server lejn giaddr. Dak ir-rekord huwa dak li jagħmel il-bini tal-fergħa li jmiss xogħol ripetibbli minflok sessjoni ta’ debug. Huwa jgħid ukoll lill-inġinier li jmiss liema output tal-kmand għandu jinġabar l-ewwel.