Cisco ASA टनेल्ड डिफल्ट रुट: यो वास्तवमा कहिले लागू हुन्छ

रिमोट-एक्सेस प्रयोगकर्ताले ASA पछाडि केहीमा पनि पुग्न सक्दैन, जबकि त्यही सर्भर भित्री LAN बाट आउने पिंगको जवाफ दिन्छ। टनेल उठ्छ, क्लाइन्टले पूलबाट ठेगाना पाउँछ, तर प्याकेट अझै इन्टरनेट डिफल्टबाट बाहिर जान्छ वा हराउँछ। यो ढाँचाले सामान्यतया डिक्रिप्ट गरिएको ट्राफिकले आफ्नै रुट नभेटेको र साधारण डिफल्टमा खसेको अर्थ दिन्छ। समाधान अर्को NAT नियम होइन; समाधान टनेल्ड डिफल्ट हो।

कन्फिगबाट होइन, लक्षणबाट सुरु गर्नुहोस्

प्याकेट कहाँ जाँदैछ हेर्नुहोस्, तपाईंले कहाँ जान्छ भन्ने अपेक्षा गर्नुभएको थियो त्यो होइन। असफल सत्रका बेला बाहिरी इन्टरफेसमा लिइएको क्याप्चरले डिक्रिप्ट गरिएको प्याकेट पूलको ठेगाना अझै अक्षत रहेर ISP गेटवेतिर जाँदै गरेको देखाउँछ, वा खोज असफल भएकाले केही देखाउँदैन। दुवै अवस्थामा टनेल समस्या होइन।

show vpn-sessiondb मा टनेल स्वस्थ देखिन्छ, र ठ्याक्कै त्यसैकारण मानिसहरू IKE डिबग गरिरहन्छन्।

ACL ड्रपबाट यसलाई छुट्याउने कुरा दिशा हो। ACL ड्रप लग हुन्छ र गनिन्छ, तर हराएको रुटले मिल्ने प्रविष्टि नभएको खोज असफलता उत्पन्न गर्छ। क्लाइन्टको गन्तव्यका लागि show route चलाउनुहोस् र ASA ले वास्तवमा के छान्यो पढ्नुहोस्, डिफल्ट छानियो कि र कुन चाहिँ भन्ने पनि समेत।

टनेल्ड खोज कसरी फरक छ

Cisco को ASA 9.23 स्ट्याटिक-रुटिङ गाइडमा स्ट्याटिक वा सिकेको रुट नभएको डिक्रिप्ट गरिएको VPN ट्राफिकका लागि छुट्टै डिफल्टको दस्तावेजीकरण छ। tunneled कीवर्डले त्यो रुट चिन्हित गर्छ, त्यसैले डिक्रिप्ट गरिएको प्याकेट ASA आफ्नै ट्रान्सपोर्टका लागि प्रयोग गर्ने अर्को हपभन्दा फरक हपमा खस्न सक्छ। अझ विशिष्ट रुटहरू अझै जित्छन्, त्यसैकारण क्लाइन्टले आन्तरिक गेटवेमार्फत 10.0.0.0/8 सम्म पुग्न सक्छ र बाँकी सबै गुमाउँछ।

न्यूनतम लेआउटले फरक-फरक अर्को हप भएका दुई डिफल्ट राख्छ। एउटाले ASA को आफ्नै ट्राफिक बोक्छ, अर्कोले राम्रो रुट नभएको डिक्रिप्ट गरिएको ट्राफिक बोक्छ। दुवै अर्को हप तपाईंले जोड्ने इन्टरफेसबाट पुग्नयोग्य हुनैपर्छ।

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

यदि दुवै डिफल्ट एउटै अर्को हपतिर संकेत गर्छन् भने, कीवर्डले केही बदल्दैन र लक्षण पनि सर्दैन।

यो चल्छ कि चल्दैन भन्ने निर्धारण गर्ने प्रतिबन्धहरू

त्यही गाइडले एउटा मात्र टनेल्ड डिफल्टलाई अनुमति दिन्छ र यसका लागि ECMP समर्थित छैन भन्छ, त्यसैले त्यो बाटोमा लोड-सेयर गर्न सकिँदैन। यसले रुट ट्र्याकिङ, रिभर्स-पाथ प्रमाणीकरण र केही इन्स्पेक्सन तथा व्यवस्थापन प्रवाहसँग सम्बन्धित प्रतिबन्धहरू पनि सूचीबद्ध गर्छ। सुविधाको वरिपरि डिजाइन गर्नुअघि ती तपाईंको स्थापित रिलिजसँग भिडाएर पढ्नुहोस्। ती बेवास्ता गर्ने डिजाइन सामान्यतया सबैतिर होइन, एउटा निश्चित ठाउँमा असफल हुन्छ, त्यसैकारण लक्षण रोकिँदै आएको जस्तो देखिन्छ।

असममित डिजाइनहरूमा रिभर्स-पाथ प्रमाणीकरणले बढी टोक्छ। यदि जवाफ ASA ले अपेक्षा गर्ने इन्टरफेसभन्दा फरक इन्टरफेसबाट आउने हो भने, रुटिङ महत्त्वपूर्ण हुनुअघि नै प्याकेट फालिन्छ। प्रमाणीकरण बन्द गरेर अर्को हप थोपार्नुको सट्टा टोपोलोजी वा फर्कने बाटो सुधार्नुहोस्।

रुट ट्र्याकिङ छुट्टै जाल हो: ट्र्याक गरिएको वस्तुले सामान्यतया साधारण डिफल्टको रक्षा गर्छ, टनेल्डको होइन।

कीवर्डले के गर्दैन

यसले ASA ले IKE बनाउन प्रयोग गर्ने स्रोत ठेगाना छान्दैन। बाहिरी टनेल टोकाटोक प्लेटफर्मकै इन्टरफेस र स्रोत छनोटलाई पछ्याउँछ, र टनेल्ड डिफल्टको त्यो निर्णयमा कुनै हिस्सा हुँदैन। यसलाई बदल्दा गलत ठेगानाबाट सुरु हुने phase 1 सुधारिँदैन।

यसले अर्को हपलाई प्रोक्सी पनि बनाउँदैन। यदि गन्तव्यले HTTP CONNECT आदानप्रदान अपेक्षा गर्छ भने, प्रोक्सी होस्टमा कच्चा IP प्याकेट पठाउँदा ती रुट नगर्ने होस्ट मात्र पाइन्छ। बरु क्लाइन्टले समर्थन गर्ने प्रोक्सी संयन्त्र कन्फिगर गर्नुहोस्।

र यसले तलतिर फर्वार्डिङ सिर्जना गर्दैन। तपाईंले संकेत गर्ने गेटवेलाई अझै VPN पूलतिर फर्कने रुट चाहिन्छ, साथै डिजाइनले माग्ने ठाउँमा स्रोत अनुवाद पनि चाहिन्छ।

बाटोलाई सुरुदेखि अन्त्यसम्म प्रमाणित गर्नुहोस्

रुट राखिसकेपछि चारवटा कुरा क्रमैसँग जाँच्नुहोस्: पूललाई चाहिने गन्तव्यका लागि show route, नयाँ अर्को हपतिरको इन्टरफेसमा क्याप्चर, गेटवेमै क्याप्चर, र त्यो गेटवेबाट पूलको ठेगानासम्म फर्कने बाटो। पहिला दुईले ASA ले त्यो बाटो छान्यो भन्ने प्रमाणित गर्छन्, र अन्तिम दुईले त्यहाँ कोही जवाफ दिइरहेको छ भन्ने प्रमाणित गर्छन्।

गेटवेले जवाफ दिन्छ तर क्लाइन्टले कहिल्यै जवाफ देख्दैन भने, रुट तालिकालाई फेरि छुनुअघि स्रोत अनुवाद र फर्कने रुट हेर्नुहोस्।

तपाईंले प्रमाणित गर्नुभएको रिलिज टिपोट गर्नुहोस्, किनकि प्रतिबन्धको सूची संस्करण-विशेष हुन्छ र एउटा ट्रेनमा चल्ने डिजाइनलाई अर्कोमा फरक बाटो चाहिन सक्छ। त्यो टिप्पणी कन्फिग स्निपेटभन्दा लामो समय टिक्छ।