Kif timmudella fluss VPN bl-ASA packet-tracer

Packet-tracer fuq ASA iwieġeb mistoqsija dejqa: dan il-pakkett, li jidħol hawn b'dan it-tuple, ikun permess, u fejn imur. Ma jwieġebx jekk it-tarf imbiegħed jirċevix xejn. L-iżball tas-soltu hu li tittiekel tuple IKE ta' barra meta dak li trid tittestja hu l-applikazzjoni li tivvjaġġa ġewwa l-mina. Ibbdiel l-ewwel it-tuple, aqra l-fażijiet, u mbagħad ġib provi reali għal kollox li s-simulatur ma jistax jara.

Il-mixja hawn taħt tassumi li l-ACL, ir-regola NAT u l-kuntest tunnel-group huma quddiemek. Mingħajrhom l-output jiddeskrivi politika li ma tistax tiċċekkja.

Pass 1: ikteb il-fluss ta' ġewwa fi kliem sempliċi

Iddeskrivi l-applikazzjoni qabel ma tikteb xejn. Host fuq ġewwa li jiftaħ SSH lejn server wara l-gateway imbiegħed huwa fluss TCP ta' ġewwa wieħed b'port tas-sors speċifiku. Dak hu l-fluss li jevalwaw l-ACL u l-filtru VPN, allura dak hu l-fluss li tikteb.

Ikteb bħala sentenza, imbagħad ittraduċi qasam b'qasam:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Pass 2: agħżel l-ingress u d-direzzjoni

L-ingress hu l-interface li fuqha jasal il-pakkett, mhux dik li minnha joħroġ. Għal host LAN li jibda, hu l-interface inside. Għall-pakkett tar-ritorn tal-istess sessjoni hu l-interface outside, u t-tuple tinbidel. Li tikteb id-destinazzjoni bħala s-sors hu t-tieni l-aktar mod komuni biex tikseb ALLOW konvinċenti iżda mhux rilevanti.

Il-portijiet għandhom direzzjoni wkoll. Il-port tas-servizz jappartjeni lill-qasam tad-destinazzjoni għal talba mibdija, u l-port effimeru tal-klijent jappartjeni lill-qasam tas-sors. Mudell b'destinazzjoni TCP 500 jiddeskrivi applikazzjoni TCP li tisma' fuq 500; ma ssirx test IKE biss għax in-numru jidher fil-kmand.

Pass 3: aqra l-fażijiet fl-ordni

Kull fażi fl-output hija deċiżjoni b'sid: tfittxija tar-rotta, ACL, NAT, imbagħad għażla ta' VPN jew mina. Aqrahom fl-ordni stampat u waqaf fl-ewwel fażi li ma taqbilx mad-disinn.

NAT jaqbad lin-nies. Jekk is-sors tradott jaqa' barra mill-crypto ACL li tagħżel it-traffiku għall-mina, il-fluss jista' jiġi permess u qatt ma jiġi nkapsulat. It-traċċa tistampa l-indirizz tradott, allura qabblu mat-traffiku interessanti tal-mina u mhux mal-indirizz oriġinali.

Pass 4: iċċekkja liema bypasses għażilt

Il-forma detailed taċċetta għażliet li jaqbżu l-verifiki, u Cisco tiddokumenta għażla bypass-checks li tkopri ACL, filtru VPN, uRPF u verifiki ta' spoofing IPsec. ALLOW miksuba b'dawk imqabżin jgħid li r-rotta u NAT jaħdmu, mhux li l-politika tilqa' pakkett reali. Innota l-għażliet ħdejn ir-riżultat.

Jekk għandek bżonn it-tweġiba tal-politika, mexxiha mingħajr il-bypasses. Jekk qed tiżola mistoqsija ta' routing, mexxiha magħhom u ittikka r-riżultat bħala tweġiba ta' routing.

Pass 5: agħlaq il-vojt bl-iskambju reali

Permess simulat jieqaf fl-ASA. Jekk il-gateway imbiegħed iddekkripta l-pakkett, jekk is-server aċċetta l-konnessjoni, u jekk tweġiba rritornatx huma osservazzjonijiet separati. Uża l-counter tal-punt tat-tmiem jew qabda dejqa fuq mogħdija approvata.

Xi għażliet trace u replay jittrasmettu pakketti jew iżommu l-istat. Segwi l-imġiba dokumentata għall-ħarġa tiegħek u l-proċedura dijanjostika approvata tiegħek minflok ma tittratta kull varjant bħala tfittxija biss-qari.

X'għadha ma tistax tgħidlek it-traċċa

Żomm erba' affarijiet f'nota waħda: it-tuple, ir-regola NAT li taqbel, il-mina jew il-politika li għandha ġġorr il-fluss, u l-osservazzjoni speċifika għad-direzzjoni. Mingħajrhom inġinier aktar tard ma jistax jifred deċiżjoni ta' politika lokali minn pjan ta' kontroll stabbilit u minn servizz li jaħdem. L-ewwel falliment segwit minn suċċess mhuwiex prova li l-mina kellha titla' bejniethom; innota l-fażi u l-bidla fl-istat.

Ibda bit-tuple ta' ġewwa, waqaf fl-ewwel fażi li tikkontradixxi d-disinn, u mbagħad biss fittex provi tal-punt tat-tmiem. It-traċċa hija oraklu tal-politika, mhux riċevuta tal-kunsinna.