Cisco ASA बाट Azure VPN: ट्राफिक सिलेक्टर प्रिफिक्स जोडीहरू

टनेल माथि आउँछ, IKE स्वस्थ देखिन्छ, तर यसबाट केही पनि जाँदैन। ASA बाट Azure सिलेक्टर समस्याको यो सामान्य रूप हो, र त्यसैले मैले कुनै पनि कन्सोल छुनु अघि सम्झौता लेख्छु। सम्झौता चार कुराको हुन्छ: प्रत्येक पियरलाई चिनाउने वस्तुहरू, जडान मोडेल, ठ्याक्कै प्रिफिक्स जोडीहरू, र प्रत्येक जोडीलाई प्रमाणित गर्ने प्रमाणीकरण। यी गलत गरे, र प्रत्येक पछिको आदेशले तपाईंले बनाउनु नपर्ने कन्फिगरेसन डिबग गर्नेछ। यो रनबुक मैले प्रयोग गर्ने क्रम हो, कुन वस्तु वास्तवमै गलत छ भनी देखाउने आदेशहरूसँगै।

कन्फिगर गर्नु अघि चार वस्तु लेख्नुहोस्

ASA रिलिज र प्लेटफर्म, सार्वजनिक इन्डपोइन्ट, Azure VPN गेटवेको प्रकार र SKU, र तपाईंको पक्ष प्रतिनिधित्व गर्ने स्थानीय नेटवर्क गेटवेबाट सुरु गर्नुहोस्। ती चार नामहरू पछि आउने सबैको शब्दावली हुन्, र केही बिग्रँदा प्रत्येकको फरक जिम्मेवार हुन्छ।

यदि तीमध्ये दुई अझै अनुमान हुन् भने, रोक्नुहोस्। स्थानीय नेटवर्क गेटवेको गलत प्रिफिक्स सूची ट्युनिङ समस्या होइन।

एउटा जडान मोडेल छान्नुहोस् र टेम्प्लेट मिसाउन छोड्नुहोस्

crypto map डिजाइन र tunnel interface डिजाइन फरक कन्फिगरेसन हुन्, र एउटाको टेम्प्लेट पियर ठेगाना सम्पादन गरेर अर्कोको लागि मान्य हुँदैन। केही टाँस्नु अघि कुन बनाउँदै हुनुहुन्छ लेख्नुहोस्, किनकि अमिल्दो पछि कन्फिगरेसन त्रुटिको रूपमा होइन, सिलेक्टर समस्याको रूपमा देखिन्छ। Microsoft को ASA अन्तरसञ्चालन गाइड दुवै ढाँचा समेट्छ र प्रत्येकले कुन Azure गेटवे मोडेल मान्छ भन्छ। तपाईंका नोटहरूले मोडेलको नाम नराखे, अझै डिजाइन छैन।

नीति-आधारित ट्राफिक सिलेक्टरसहितको मार्ग-आधारित Azure गेटवे एउटा विशिष्ट अभिलेखित विकल्प हो, पूर्वनिर्धारित होइन। यदि तपाईंको डिजाइन यसमा निर्भर छ भने, डिजाइनले त्यो भन्नुपर्छ, किनकि पूर्वनिर्धारित मार्ग-आधारित सिलेक्टर मोडेल Azure पक्षमा फरक व्यवहार गर्छ।

संस्करण सीमाहरू पनि सम्झौतामा पर्छन्। इन्क्रिप्शन डोमेनको सीमाबारे पुरानो फिल्ड रिपोर्ट विशेष रिलिजबारेको डाटा बिन्दु हो, हरेक ASA को स्थायी गुण होइन।

समग्र होइन, प्रिफिक्स जोडीहरू गन्नुहोस्

म्याट्रिक्स लेख्नुहोस्। स्थानीय A र B बाट Azure X र Y सम्म चार जोडी हुन्छन्, र प्रत्येकलाई कभरेज वा स्पष्ट बहिष्कार चाहिन्छ। A र B लाई एउटै समग्रमा जोड्दा तिनीहरूबीचको सबै पनि समावेश हुन्छ, र यसरी डिजाइन चुपचाप प्वाल बढाउँछ।

तपाईंले सुरक्षित गरेको होइन, पियरहरूले वार्ता गरेको जाँच्नुहोस्। ASA मा स्थानीय र टाढाको नेटवर्क सूची मनसाय हो; CHILD SA नतिजा हुन्।

जोडी छुट्दा, समाधान सामान्यतया access-list लाइन वा सिलेक्टर प्रविष्टि हुन्छ, नयाँ टनेल होइन।

वस्तुको नाम लिने आदेशले प्रमाणित गर्नुहोस्

ASA मा IKE सत्र, त्यसपछि IPsec SA, त्यसपछि सिलेक्टर जोडीहरू पुष्टि गर्नुहोस्। प्रत्येक आदेशले फरक प्रश्नको जवाफ दिन्छ, र पहिलो मात्र चलाउनु भनेको «टनेल माथि छ» लाई झुटो निष्कर्ष बनाउनु हो। सूचीमा पहिलो आउने SA होइन, तपाईंले वास्तवमै कन्फिगर गरेको पियरको आउटपुट पढ्नुहोस्। Azure पक्षले पनि ती तीन प्रश्नको आफ्नै दृष्टिकोणबाट जवाफ दिन्छ।

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

त्यसपछि az network vpn-connection show --name <connection> --query connectionStatus ले Azure लाई जडान स्थिति सोध्नुहोस्। डाटा मार्गमा शून्य बाइटसहित «जडान भएको» भन्नु राउटिङ समस्या होइन, सिलेक्टर समस्या हो।

प्रत्येक जोडीका लागि एउटा अनुमति दिइएको प्रवाह परीक्षण गर्नुहोस्, अर्को पट्टि देखिने स्रोत ठेगाना जाँच्नुहोस्, र अस्वीकार गर्नुपर्ने एउटा स्रोत प्रयास गर्नुहोस्। त्यो अन्तिम परीक्षणले मात्र सीमा अझै छ भनी प्रमाणित गर्छ।

इन्क्रिप्शन दायरा पहुँच अनुमतिबाट अलग राख्नुहोस्

फराकिलो सिलेक्टर अनुमति होइन। यदि समर्थित लेआउट अनुप्रयोग नीतिभन्दा फराकिलो छ भने, साँघुरा सेवाहरू firewall नियममा राख्नुहोस् र इन्क्रिप्शन दायरा जहाँ हुनुपर्ने हो त्यहीँ राख्नुहोस्।

Azure कार्यभार मार्ग र स्थानीय फिर्ती मार्गहरू छुट्टाछुट्टै समीक्षा गरिन्छ। BGP घोषणा, स्थिर नेटवर्क दायरा र प्रयोगकर्ता-परिभाषित मार्गहरूले एउटै बाटो वर्णन गर्नुपर्छ, र तीमध्ये कुनैले पनि पियर यातायातलाई पुनरावृत्त रूपमा समात्नु हुँदैन।

रोलब्याक र यो चल्यो भन्ने प्रमाण

सिलेक्टर परिवर्तन गर्नु अघि अघिल्लो चालु कन्फिगरेसन राख्नुहोस् र त्यसलाई फर्काउने एउटा आदेश थाहा पाउनुहोस्। ASA मा यसको अर्थ सुरक्षित प्रतिलिपि र मिल्ने पुनर्स्थापना मार्ग हो, तपाईंले के सम्पादन गर्नुभयो भन्ने सम्झना होइन। परिवर्तन अझै काल्पनिक हुँदै पुनर्स्थापना आदेश परिवर्तन टिकटमा लेख्नुहोस्। त्यसपछि ती तीनै जाँच फेरि चलाउनुहोस्: IKE स्थिति, IPsec SA जोडीहरू, प्रत्येक जोडीका लागि एउटा अनुमति दिइएको प्रवाह।

पुनर्स्थापनापछि पनि जोडी असफल भयो भने, परिवर्तन कारण थिएन, र तपाईंले दोस्रो अवरोधबाट बच्नुभयो।