Ir-rotta default tunneled fuq Cisco ASA: meta tapplika tassew

Utent b'aċċess mill-bogħod ma jasal għal xejn lil hinn mill-ASA filwaqt li l-istess server iwieġeb għall-pings mil-LAN intern. It-tunnel jinżel, il-klijent jieħu indirizz mill-pool, u l-pakkett xorta joħroġ mir-rotta default tal-internet jew jisparixxi. Dan ix-xejra normalment ifisser li t-traffiku deċifrat ma sabx rotta tiegħu stess u waqa' fuq ir-rotta default ordinarja. Is-serħan mhuwiex regola NAT oħra; huwa r-rotta default tunneled.

Ibda mis-sintomu, mhux mill-konfigurazzjoni

Ara fejn sejjer il-pakkett, mhux fejn kont qed tistenna li jmur. Qabda fuq l-interface ta' barra waqt sessjoni falluta turi l-pakkett deċifrat sejjer lejn il-gateway tal-ISP bl-indirizz tal-pool għadu intatt, jew ma turi xejn għax it-tfittxija falliet. Fiż-żewġ każijiet it-tunnel mhuwiex il-problema.

It-tunnel jidher f'saħħtu fi show vpn-sessiondb, u huwa eżattament għalhekk li n-nies ikomplu jiddebbaggaw l-IKE.

Dak li jifred dan minn waqgħa ACL hija d-direzzjoni. Waqgħa ACL tiġi rreġistrata u magħduda, filwaqt li rotta nieqsa tipproduċi falliment fit-tfittxija mingħajr ebda entrata li taqbel. Ħaddem show route għad-destinazzjoni tal-klijent u aqra x'għażlet tassew l-ASA, inkluż jekk intgħażlitx rotta default u liema.

Kif it-tfittxija tunneled hija differenti

Il-gwida Cisco dwar ir-routing statiku fuq ASA 9.23 tiddokumenta rotta default separata għat-traffiku VPN deċifrat li m'għandux rotta statika jew mitgħallma. Il-kelma ewlenija tunneled timmarka dik ir-rotta, allura pakkett deċifrat jista' jaqa' fuq next hop differenti minn dak li l-ASA tuża għat-trasport tagħha stess. Rotot aktar speċifiċi xorta jirbħu, u għalhekk klijent jista' jasal għal 10.0.0.0/8 mill-gateway intern u jitlef kollox ieħor.

Tqassim minimu jżomm żewġ rotot default b'next hops differenti. Waħda ġġorr it-traffiku tal-ASA stess, u l-oħra ġġorr it-traffiku deċifrat li m'għandux rotta aħjar. Iż-żewġ next hops xorta jridu jkunu jistgħu jintlaħqu mill-interface li tqabbadhom magħha.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Jekk iż-żewġ rotot default jiġu indikati lejn l-istess next hop, il-kelma ewlenija ma tbiddel xejn u s-sintomu mhux se jitmexxa.

Ir-restrizzjonijiet li jiddeċiedu jekk taħdimx

L-istess gwida tippermetti biss rotta default tunneled waħda u tgħid li ECMP mhuwiex appoġġat għaliha, allura ma tistax tqassam it-tagħbija fuq dik ir-rotta. Hija telenka wkoll restrizzjonijiet li jikkonċernaw it-traċċar tar-rotot, il-verifika tal-passaġġ invers, u xi flussi ta' spezzjoni u ġestjoni. Aqrahom skont il-ħruġ installat tiegħek qabel ma tiddisinja madwar din il-karatteristika. Disinn li jinjorahom normalment ifalli f'post wieħed speċifiku u mhux kullimkien, u għalhekk is-sintomu jidher intermittenti.

Il-verifika tal-passaġġ invers hija dik li togħdos fid-disinni assimetriċi. Jekk it-tweġiba tasal minn interface differenti minn dik li tistenna l-ASA, il-pakkett jitwarrab qabel ma r-routing ikollu importanza. Sejjaħ it-topoloġija jew il-passaġġ tar-ritorn minflok ma tiddiżattiva l-verifika biex iġġiegħel next hop.

It-traċċar tar-rotot huwa nassa separata: l-oġġett ittraċċjat normalment jissalvagwardja r-rotta default ordinarja, mhux dik tunneled.

X'ma tagħmilx il-kelma ewlenija

Ma tagħżilx l-indirizz tas-sors li l-ASA tuża biex tibni l-IKE. Il-punt tat-tarf ta' barra tat-tunnel isegwi l-għażla tal-interface u tas-sors tal-pjattaforma stess, u r-rotta default tunneled m'għandhiex parti f'dik id-deċiżjoni. Li tbiddilha ma jsewwix phase 1 li jibda minn indirizz ħażin.

Lanqas iddawwar in-next hop fi proxy. Jekk id-destinazzjoni tistenna skambju HTTP CONNECT, li tibgħat pakketti IP nejjin lil host proxy jagħtik biss host li mhuwiex qed jirrotahom. Minflok, ikkonfigura l-mekkaniżmu tal-proxy li jappoġġa l-klijent.

U ma joħloqx forwarding 'l isfel. Il-gateway li tindika lejh xorta għandu bżonn rotta lura lejn il-pool tal-VPN, flimkien ma' traduzzjoni tas-sors fejn id-disinn jitlobha.

Ivverifika l-passaġġ minn tarf sa tarf

Wara li r-rotta tkun f'postha, iċċekkja erba' affarijiet fl-ordni: show route għal destinazzjoni li l-pool jeħtieġ, qabda fuq l-interface lejn in-next hop il-ġdid, qabda fuq il-gateway stess, u passaġġ tar-ritorn minn dak il-gateway lejn l-indirizz tal-pool. L-ewwel tnejn jipprovaw li l-ASA għażlet dak il-passaġġ, u l-aħħar tnejn jipprovaw li xi ħadd iwieġeb fuqu.

Jekk il-gateway iwieġeb imma l-klijent qatt ma jara tweġiba, ħares lejn it-traduzzjoni tas-sors u r-rotta tat-tweġiba qabel ma terġa' tmiss it-tabella tar-rotot.

Irreġistra l-ħruġ li vverifikajt fuqu, għax il-lista tar-restrizzjonijiet tiddependi mill-verżjoni u disinn li jaħdem fuq ferrovija waħda jista' jkollu bżonn passaġġ differenti fuq oħra. Dik in-nota tgħix aktar mis-snippet tal-konfigurazzjoni.