Een VPN-stroom modelleren met ASA packet-tracer

Packet-tracer op een ASA beantwoordt een smalle vraag: zou dit pakket, dat hier met deze tuple binnenkomt, worden toegestaan, en waar zou het heen gaan. Het beantwoordt niet of het verre uiteinde iets ontvangt. De gebruikelijke fout is een buitenste IKE-tuple invoeren terwijl het ding dat je wilt testen de applicatie is die in de tunnel rijdt. Corrigeer eerst de tuple, lees de fasen en verzamel dan echt bewijs voor alles wat de simulator niet kan zien.

De onderstaande wandeling gaat ervan uit dat de ACL, de NAT-regel en de tunnel-group-context voor je liggen. Zonder die beschrijft de uitvoer een beleid dat je niet kunt controleren.

Stap 1: schrijf de binnenste stroom in eenvoudige woorden

Beschrijf de applicatie voordat je iets typt. Een host aan de binnenkant die SSH opent naar een server achter de verre gateway is één binnenste TCP-stroom met een specifieke bronpoort. Dat is de stroom die de ACL en het VPN-filter beoordelen, dus dat is de stroom die je typt.

Schrijf het als een zin en vertaal het dan veld voor veld:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Stap 2: kies de ingress en de richting

Ingress is de interface waarop het pakket aankomt, niet die waarlangs het vertrekt. Voor een LAN-host die begint, is dat de inside-interface. Voor het retourpakket van dezelfde sessie is dat de outside-interface, en de tuple keert om. De bestemming als de bron typen is de op één na meest voorkomende manier om een overtuigende maar irrelevante ALLOW te verdienen.

Poorten zijn ook richtinggebonden. De servicepoort hoort in het bestemmingsveld bij een gestart verzoek, en de efemere poort van de client hoort in het bronveld. Een model met TCP-bestemming 500 beschrijft een TCP-applicatie die op 500 luistert; het wordt geen IKE-test omdat het nummer in de opdracht voorkomt.

Stap 3: lees de fasen in volgorde

Elke fase in de uitvoer is een beslissing met een eigenaar: routeopzoek, ACL, NAT en dan VPN- of tunnelkeuze. Lees ze in de afgedrukte volgorde en stop bij de eerste fase die niet met het ontwerp overeenkomt.

NAT verrast mensen. Als de vertaalde bron buiten de crypto-ACL valt die verkeer voor de tunnel selecteert, kan de stroom worden toegestaan en nooit worden ingekapseld. De trace drukt het vertaalde adres af, dus vergelijk dat met het interessante verkeer van de tunnel en niet met het oorspronkelijke adres.

Stap 4: controleer welke omzeilingen je hebt gekozen

De vorm detailed neemt opties die controles overslaan, en Cisco documenteert een bypass-checks-optie die ACL, VPN-filter, uRPF en IPsec-spoofcontroles dekt. Een ALLOW die met die omzeilingen is verkregen, zegt dat de route en NAT zouden werken, niet dat het beleid een echt pakket zou toelaten. Noteer de opties naast het resultaat.

Als je het beleidsantwoord nodig hebt, voer het dan uit zonder de omzeilingen. Als je een routeringsvraag isoleert, voer het dan met hen uit en label het resultaat als een routeringsantwoord.

Stap 5: dicht de kloof met de echte uitwisseling

Een gesimuleerde toestemming stopt bij de ASA. Of de verre gateway het pakket heeft ontsleuteld, of de server de verbinding heeft geaccepteerd en of er een antwoord terugkwam, zijn afzonderlijke waarnemingen. Gebruik eindpunt-tellers of een smalle opname op een goedgekeurd pad.

Sommige trace- en replay-opties verzenden pakketten of bewaren status. Volg het gedocumenteerde gedrag voor jouw release en jouw goedgekeurde diagnostische procedure in plaats van elke variant als een alleen-lezen-opzoeking te behandelen.

Wat de trace je nog steeds niet kan vertellen

Houd vier dingen in één notitie: de tuple, de overeenkomende NAT-regel, de tunnel of het beleid dat de stroom zou moeten dragen, en de richtingspecifieke waarneming. Zonder die kan een latere ingenieur een lokaal beleidsbesluit niet onderscheiden van een gevestigd controlevlak en van een werkende dienst. Een eerste mislukking gevolgd door een succes is ook geen bewijs dat de tunnel daartussen omhoog moest komen; noteer de fase en de toestandsverandering.

Begin met de binnenste tuple, stop bij de eerste fase die het ontwerp tegenspreekt en grijp pas daarna naar eindpuntbewijs. De trace is een beleidsorakel, geen afleveringsbewijs.