Cisco ASA għal Azure VPN: Parrijiet ta’ Prefiss tas-Selettur tat-Traffiku

Il-mina titla’, IKE jidher b’saħħtu, u xejn ma jgħaddi minnha. Din hija l-forma tas-soltu ta’ problema tas-selettur mill-ASA għal Azure, u għalhekk nikteb il-kuntratt qabel ma nmiss wieħed miż-żewġ consoles. Il-kuntratt huwa erba’ affarijiet: l-oġġetti li jidentifikaw kull peer, il-mudell tal-konnessjoni, il-parrijiet ta’ prefiss eżatti, u l-verifika li tipprova kull par. Żball f’dawn u kull kmand wara se jnaddaf konfigurazzjoni li ma kellekx tibni. Dan ir-runbook huwa l-ordni li nuża, bil-kmandi li juru liema oġġett huwa tassew ħażin.

Ikteb l-erba’ oġġetti qabel ma tikkonfigura

Ibda bir-rilaxx u l-pjattaforma tal-ASA, l-endpoint pubbliku, it-tip u l-SKU tal-gateway Azure VPN, u l-gateway tan-netwerk lokali li jirrappreżenta naħa tiegħek. Dawn l-erba’ ismijiet huma l-vokabularju għal kull ma jiġi wara, u kull wieħed għandu sid differenti meta xi ħaġa tinqasam.

Jekk tnejn minnhom għadhom preżunzjonijiet, waqaf. Lista ħażina ta’ prefissi fil-gateway tan-netwerk lokali mhijiex problema ta’ tuning.

Agħżel mudell wieħed ta’ konnessjoni u waqaf tħallat templates

Disinn crypto map u disinn tunnel interface huma konfigurazzjonijiet differenti, u template għal wieħed ma jsirx validu għall-ieħor billi tbiddel l-indirizz tal-peer. Irreġistra liema qed tibni qabel ma tpejst xi ħaġa, għax in-nuqqas ta’ qbil jidher aktar tard bħala problema tas-selettur u mhux bħala żball ta’ konfigurazzjoni. Il-gwida tal-interoperabbiltà tal-ASA ta’ Microsoft tkopri ż-żewġ mudelli u tgħid liema mudell tal-gateway Azure jassumi kull wieħed. Jekk in-noti tiegħek ma jsemmux il-mudell, għadek m’għandekx disinn.

Gateway Azure ibbażat fuq rotta b’seletturi tat-traffiku ibbażati fuq politika huwa għażla speċifika dokumentata, mhux il-default. Jekk id-disinn tiegħek jiddependi fuqha, id-disinn irid jgħid hekk, għax il-mudell tas-selettur ibbażat fuq rotta default iġib ruħu b’mod differenti fuq in-naħa Azure.

Il-limiti tal-verżjoni wkoll jappartjenu għall-kuntratt. Rapport qadim fuq il-post dwar limitu fid-dominji tal-kriptaġġ huwa punt ta’ data dwar rilaxxi partikolari, mhux proprjetà permanenti ta’ kull ASA.

Għodd il-parrijiet ta’ prefiss, mhux l-aggregati

Ikteb il-matriċi. Minn A u B fuq il-post għal X u Y f’Azure huma erba’ parrijiet, u kull wieħed jeħtieġ kopertura jew esklużjoni espliċita. Li tgħaqqad A u B f’aggregat wieħed jinkludi wkoll kull ma jinsab bejniethom, u b’hekk id-disinn bil-moħbi jkabbar toqba.

Iċċekkja dak li nnegozjaw il-peers, mhux dak li salvajt. Il-lista tan-netwerks lokali u remot fuq l-ASA hija intenzjoni; is-CHILD SA huma r-riżultat.

Meta par ikun nieqes, is-soluzzjoni normalment hija linja access-list jew entrata tas-selettur, mhux mina ġdida.

Ivverifika b’kmandi li jsemmu l-oġġett

Fuq l-ASA ikkonferma s-sessjoni IKE, imbagħad l-SA IPsec, imbagħad il-parrijiet tas-selettur. Kull kmand iwieġeb mistoqsija differenti, u li tħaddem biss l-ewwel huwa kif «il-mina hija mtella’» isir konklużjoni falza. Aqra l-output għall-peer li tassew ikkonfigurajt, mhux għall-SA li jkun l-ewwel fil-lista. In-naħa Azure twieġeb l-istess tliet mistoqsijiet mill-perspettiva tagħha.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Imbagħad staqsi lil Azure għall-istat tal-konnessjoni b’az network vpn-connection show --name <connection> --query connectionStatus. Konness b’żero bytes fil-passaġġ tad-data hija problema tas-selettur, mhux tal-routing.

Ittestja fluss wieħed permess għal kull par, iċċekkja l-indirizz tas-sors li jidher fuq in-naħa l-oħra, u pprova riżors wieħed li għandu jiġi miċħud. Dak it-test tal-aħħar biss jipprova li l-konfini għadu jeżisti.

Żomm l-ambitu tal-kriptaġġ separat mill-permess tal-aċċess

Selettur wiesa’ mhuwiex permess. Jekk it-tqassim appoġġjat huwa usa’ mill-politika tal-applikazzjoni, żomm is-servizzi dojoq fir-regoli tal-firewall u ħalli l-ambitu tal-kriptaġġ fejn irid ikun.

Ir-rotot tax-xogħol Azure u r-rotot tar-ritorn fuq il-post jiġu riveduti separatament. L-avviżi BGP, l-ambitu tan-netwerk statiku u r-rotot definiti mill-utent kollha jridu jiddeskrivu l-istess passaġġ, u ebda wieħed minnhom ma jista’ jaqbad it-trasport tal-peer b’mod rekursiv.

Rollback u l-prova li ħadem

Żomm il-konfigurazzjoni running preċedenti qabel tibdel is-seletturi, u kun af il-kmand wieħed li jġibha lura. Fuq l-ASA dan ifisser kopja salvata u l-passaġġ ta’ restawr li jaqbel, mhux tifkira ta’ dak li editjajt. Ikteb il-kmand ta’ restawr fil-biljett tal-bidla waqt li l-bidla għadha ipotetika. Imbagħad erġa’ ħaddem l-istess tliet kontrolli: stat IKE, parrijiet SA IPsec, fluss wieħed permess għal kull par.

Jekk par xorta jonqos wara r-restawr, il-bidla ma kinitx il-kawża, u għadek kemm salvajt lilek innifsek tieni waqfa.