Cisco ASA ਤੋਂ Azure VPN ਤੱਕ: ਟ੍ਰੈਫਿਕ ਚੋਣਕਰਤਾ ਦੇ ਪ੍ਰੀਫਿਕਸ ਜੋੜੇ

ਟਨਲ ਉੱਪਰ ਆਉਂਦੀ ਹੈ, IKE ਸਿਹਤਮੰਦ ਦਿਸਦਾ ਹੈ, ਪਰ ਇਸ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਨਹੀਂ ਲੰਘਦਾ। ਇਹ ASA ਤੋਂ Azure ਚੋਣਕਰਤਾ ਸਮੱਸਿਆ ਦਾ ਆਮ ਰੂਪ ਹੈ, ਅਤੇ ਇਸੇ ਲਈ ਮੈਂ ਕਿਸੇ ਵੀ ਕੰਸੋਲ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਸਮਝੌਤਾ ਲਿਖਦਾ ਹਾਂ। ਸਮਝੌਤਾ ਚਾਰ ਚੀਜ਼ਾਂ ਦਾ ਹੈ: ਹਰ ਪੀਅਰ ਦੀ ਪਛਾਣ ਕਰਨ ਵਾਲੀਆਂ ਵਸਤੂਆਂ, ਕਨੈਕਸ਼ਨ ਮਾਡਲ, ਸਹੀ ਪ੍ਰੀਫਿਕਸ ਜੋੜੇ, ਅਤੇ ਹਰ ਜੋੜੇ ਨੂੰ ਸਾਬਤ ਕਰਨ ਵਾਲੀ ਪਰਖ। ਇਹਨਾਂ ਵਿੱਚ ਗਲਤੀ ਕੀਤੀ ਤਾਂ ਹਰ ਅਗਲਾ ਕਮਾਂਡ ਅਜਿਹੀ ਕਨਫਿਗਰੇਸ਼ਨ ਨੂੰ ਡੀਬੱਗ ਕਰੇਗਾ ਜੋ ਤੁਹਾਨੂੰ ਨਹੀਂ ਬਣਾਉਣੀ ਚਾਹੀਦੀ ਸੀ। ਇਹ ਰਨਬੁੱਕ ਉਹ ਕ੍ਰਮ ਹੈ ਜੋ ਮੈਂ ਵਰਤਦਾ ਹਾਂ, ਉਹਨਾਂ ਕਮਾਂਡਾਂ ਨਾਲ ਜੋ ਦਿਖਾਉਂਦੀਆਂ ਹਨ ਕਿ ਕਿਹੜੀ ਵਸਤੂ ਅਸਲ ਵਿੱਚ ਗਲਤ ਹੈ।

ਕਨਫਿਗਰ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਚਾਰ ਵਸਤੂਆਂ ਲਿਖੋ

ASA ਰੀਲੀਜ਼ ਅਤੇ ਪਲੇਟਫਾਰਮ, ਜਨਤਕ ਐਂਡਪੌਇੰਟ, Azure VPN ਗੇਟਵੇ ਦੀ ਕਿਸਮ ਅਤੇ SKU, ਅਤੇ ਤੁਹਾਡੇ ਪਾਸੇ ਦੀ ਨੁਮਾਇੰਦਗੀ ਕਰਨ ਵਾਲੇ ਲੋਕਲ ਨੈੱਟਵਰਕ ਗੇਟਵੇ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ। ਇਹ ਚਾਰ ਨਾਮ ਅੱਗੇ ਆਉਣ ਵਾਲੀ ਹਰ ਚੀਜ਼ ਦੀ ਸ਼ਬਦਾਵਲੀ ਹਨ, ਅਤੇ ਕੁਝ ਟੁੱਟਣ ’ਤੇ ਹਰ ਇੱਕ ਦਾ ਵੱਖਰਾ ਮਾਲਕ ਹੁੰਦਾ ਹੈ।

ਜੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਦੋ ਅਜੇ ਅੰਦਾਜ਼ੇ ਹਨ, ਤਾਂ ਰੁਕੋ। ਲੋਕਲ ਨੈੱਟਵਰਕ ਗੇਟਵੇ ’ਤੇ ਗਲਤ ਪ੍ਰੀਫਿਕਸ ਸੂਚੀ ਟਿਊਨਿੰਗ ਦੀ ਸਮੱਸਿਆ ਨਹੀਂ ਹੈ।

ਇੱਕ ਕਨੈਕਸ਼ਨ ਮਾਡਲ ਚੁਣੋ ਅਤੇ ਟੈਂਪਲੇਟ ਮਿਲਾਉਣਾ ਬੰਦ ਕਰੋ

crypto map ਡਿਜ਼ਾਈਨ ਅਤੇ tunnel interface ਡਿਜ਼ਾਈਨ ਵੱਖਰੀਆਂ ਕਨਫਿਗਰੇਸ਼ਨਾਂ ਹਨ, ਅਤੇ ਇੱਕ ਦਾ ਟੈਂਪਲੇਟ ਪੀਅਰ ਪਤਾ ਸੋਧ ਕੇ ਦੂਜੇ ਲਈ ਵੈਧ ਨਹੀਂ ਹੁੰਦਾ। ਕੁਝ ਵੀ ਪੇਸਟ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਲਿਖੋ ਕਿ ਤੁਸੀਂ ਕਿਹੜਾ ਬਣਾ ਰਹੇ ਹੋ, ਕਿਉਂਕਿ ਬੇਮੇਲਤਾ ਬਾਅਦ ਵਿੱਚ ਕਨਫਿਗਰੇਸ਼ਨ ਗਲਤੀ ਵਜੋਂ ਨਹੀਂ, ਚੋਣਕਰਤਾ ਸਮੱਸਿਆ ਵਜੋਂ ਦਿਸਦੀ ਹੈ। Microsoft ਦੀ ASA ਅੰਤਰ-ਕਾਰਜਸ਼ੀਲਤਾ ਗਾਈਡ ਦੋਵੇਂ ਨਮੂਨੇ ਸ਼ਾਮਲ ਕਰਦੀ ਹੈ ਅਤੇ ਦੱਸਦੀ ਹੈ ਕਿ ਹਰ ਇੱਕ ਕਿਹੜਾ Azure ਗੇਟਵੇ ਮਾਡਲ ਮੰਨਦਾ ਹੈ। ਜੇ ਤੁਹਾਡੇ ਨੋਟ ਮਾਡਲ ਦਾ ਨਾਮ ਨਹੀਂ ਦੱਸਦੇ, ਤਾਂ ਅਜੇ ਡਿਜ਼ਾਈਨ ਨਹੀਂ ਹੈ।

ਨੀਤੀ-ਆਧਾਰਿਤ ਟ੍ਰੈਫਿਕ ਚੋਣਕਰਤਿਆਂ ਵਾਲਾ ਰਸਤਾ-ਆਧਾਰਿਤ Azure ਗੇਟਵੇ ਇੱਕ ਖਾਸ ਦਸਤਾਵੇਜ਼ੀ ਵਿਕਲਪ ਹੈ, ਡਿਫਾਲਟ ਨਹੀਂ। ਜੇ ਤੁਹਾਡਾ ਡਿਜ਼ਾਈਨ ਇਸ ’ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ, ਤਾਂ ਡਿਜ਼ਾਈਨ ਨੂੰ ਇਹ ਕਹਿਣਾ ਚਾਹੀਦਾ ਹੈ, ਕਿਉਂਕਿ ਡਿਫਾਲਟ ਰਸਤਾ-ਆਧਾਰਿਤ ਚੋਣਕਰਤਾ ਮਾਡਲ Azure ਪਾਸੇ ਵੱਖਰਾ ਵਿਵਹਾਰ ਕਰਦਾ ਹੈ।

ਵਰਜਨ ਸੀਮਾਵਾਂ ਵੀ ਸਮਝੌਤੇ ਵਿੱਚ ਆਉਂਦੀਆਂ ਹਨ। ਇਨਕ੍ਰਿਪਸ਼ਨ ਡੋਮੇਨ ਦੀ ਸੀਮਾ ਬਾਰੇ ਪੁਰਾਣੀ ਫੀਲਡ ਰਿਪੋਰਟ ਖਾਸ ਰੀਲੀਜ਼ਾਂ ਬਾਰੇ ਡਾਟਾ ਬਿੰਦੂ ਹੈ, ਹਰ ASA ਦੀ ਸਥਾਈ ਵਿਸ਼ੇਸ਼ਤਾ ਨਹੀਂ।

ਸਮੂਹ ਨਹੀਂ, ਪ੍ਰੀਫਿਕਸ ਜੋੜੇ ਗਿਣੋ

ਮੈਟ੍ਰਿਕਸ ਲਿਖੋ। ਲੋਕਲ A ਅਤੇ B ਤੋਂ Azure X ਅਤੇ Y ਤੱਕ ਚਾਰ ਜੋੜੇ ਹਨ, ਅਤੇ ਹਰ ਇੱਕ ਨੂੰ ਕਵਰੇਜ ਜਾਂ ਸਪਸ਼ਟ ਬਾਹਰਕੱਢ ਚਾਹੀਦਾ ਹੈ। A ਅਤੇ B ਨੂੰ ਇੱਕ ਸਮੂਹ ਵਿੱਚ ਜੋੜਨ ਨਾਲ ਉਹਨਾਂ ਵਿਚਕਾਰਲਾ ਸਭ ਕੁਝ ਵੀ ਸ਼ਾਮਲ ਹੋ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ ਡਿਜ਼ਾਈਨ ਚੁੱਪਚਾਪ ਮੋਰੀ ਵਧਾਉਂਦਾ ਹੈ।

ਜੋ ਤੁਸੀਂ ਸੰਭਾਲਿਆ ਨਹੀਂ, ਸਗੋਂ ਜੋ ਪੀਅਰਾਂ ਨੇ ਗੱਲਬਾਤ ਕੀਤੀ ਹੈ ਉਹ ਜਾਂਚੋ। ASA ’ਤੇ ਲੋਕਲ ਅਤੇ ਦੂਰਲਾ ਨੈੱਟਵਰਕ ਸੂਚੀ ਇਰਾਦਾ ਹੈ; CHILD SA ਨਤੀਜਾ ਹਨ।

ਜਦੋਂ ਜੋੜਾ ਗੁੰਮ ਹੋਵੇ, ਸੁਧਾਰ ਆਮ ਤੌਰ ’ਤੇ access-list ਲਾਈਨ ਜਾਂ ਚੋਣਕਰਤਾ ਐਂਟਰੀ ਹੁੰਦਾ ਹੈ, ਨਵੀਂ ਟਨਲ ਨਹੀਂ।

ਵਸਤੂ ਦਾ ਨਾਮ ਲੈਣ ਵਾਲੀਆਂ ਕਮਾਂਡਾਂ ਨਾਲ ਪਰਖੋ

ASA ’ਤੇ IKE ਸੈਸ਼ਨ, ਫਿਰ IPsec SA, ਫਿਰ ਚੋਣਕਰਤਾ ਜੋੜੇ ਪੁਸ਼ਟੀ ਕਰੋ। ਹਰ ਕਮਾਂਡ ਵੱਖਰੇ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦੀ ਹੈ, ਅਤੇ ਸਿਰਫ਼ ਪਹਿਲੀ ਚਲਾਉਣਾ ਹੀ «ਟਨਲ ਉੱਪਰ ਹੈ» ਨੂੰ ਝੂਠਾ ਸਿੱਟਾ ਬਣਾਉਂਦਾ ਹੈ। ਸੂਚੀ ਵਿੱਚ ਪਹਿਲਾ ਆਉਣ ਵਾਲਾ SA ਨਹੀਂ, ਸਗੋਂ ਤੁਹਾਡੇ ਵੱਲੋਂ ਅਸਲ ਵਿੱਚ ਕਨਫਿਗਰ ਕੀਤੇ ਪੀਅਰ ਦਾ ਆਉਟਪੁੱਟ ਪੜ੍ਹੋ। Azure ਪਾਸਾ ਵੀ ਉਹੀ ਤਿੰਨ ਸਵਾਲ ਆਪਣੇ ਨਜ਼ਰੀਏ ਤੋਂ ਜਵਾਬ ਦਿੰਦਾ ਹੈ।

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

ਫਿਰ az network vpn-connection show --name <connection> --query connectionStatus ਨਾਲ Azure ਤੋਂ ਕਨੈਕਸ਼ਨ ਸਥਿਤੀ ਪੁੱਛੋ। ਡਾਟਾ ਰਸਤੇ ਵਿੱਚ ਜ਼ੀਰੋ ਬਾਈਟਾਂ ਨਾਲ «ਕਨੈਕਟਿਡ» ਹੋਣਾ ਰਾਊਟਿੰਗ ਸਮੱਸਿਆ ਨਹੀਂ, ਚੋਣਕਰਤਾ ਸਮੱਸਿਆ ਹੈ।

ਹਰ ਜੋੜੇ ਲਈ ਇੱਕ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਪ੍ਰਵਾਹ ਟੈਸਟ ਕਰੋ, ਦੂਜੇ ਪਾਸੇ ਦਿਸਣ ਵਾਲਾ ਸਰੋਤ ਪਤਾ ਜਾਂਚੋ, ਅਤੇ ਇੱਕ ਅਜਿਹਾ ਸਰੋਤ ਅਜ਼ਮਾਓ ਜੋ ਰੱਦ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਸਿਰਫ਼ ਉਹ ਆਖਰੀ ਟੈਸਟ ਹੀ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਸੀਮਾ ਅਜੇ ਵੀ ਮੌਜੂਦ ਹੈ।

ਇਨਕ੍ਰਿਪਸ਼ਨ ਦਾਇਰਾ ਪਹੁੰਚ ਇਜਾਜ਼ਤ ਤੋਂ ਵੱਖ ਰੱਖੋ

ਵਿਸ਼ਾਲ ਚੋਣਕਰਤਾ ਇਜਾਜ਼ਤ ਨਹੀਂ ਹੈ। ਜੇ ਸਮਰਥਿਤ ਲੇਆਉਟ ਐਪਲੀਕੇਸ਼ਨ ਨੀਤੀ ਨਾਲੋਂ ਵਿਸ਼ਾਲ ਹੈ, ਤਾਂ ਤੰਗ ਸੇਵਾਵਾਂ firewall ਨਿਯਮਾਂ ਵਿੱਚ ਰੱਖੋ ਅਤੇ ਇਨਕ੍ਰਿਪਸ਼ਨ ਦਾਇਰਾ ਜਿੱਥੇ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਉੱਥੇ ਰੱਖੋ।

Azure ਵਰਕਲੋਡ ਰਸਤੇ ਅਤੇ ਲੋਕਲ ਵਾਪਸੀ ਰਸਤੇ ਵੱਖਰੇ ਤੌਰ ’ਤੇ ਸਮੀਖਿਆ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। BGP ਐਲਾਨ, ਸਥਿਰ ਨੈੱਟਵਰਕ ਦਾਇਰਾ ਅਤੇ ਵਰਤੋਂਕਾਰ-ਪਰਿਭਾਸ਼ਿਤ ਰਸਤੇ ਸਾਰੇ ਇੱਕੋ ਰਸਤਾ ਦੱਸਣ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਪੀਅਰ ਟ੍ਰਾਂਸਪੋਰਟ ਨੂੰ ਵਾਰ-ਵਾਰ ਨਹੀਂ ਫੜ ਸਕਦਾ।

ਰੋਲਬੈਕ ਅਤੇ ਇਹ ਕੰਮ ਕੀਤਾ ਦਾ ਸਬੂਤ

ਚੋਣਕਰਤਾ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਪਿਛਲੀ ਚੱਲ ਰਹੀ ਕਨਫਿਗਰੇਸ਼ਨ ਸੰਭਾਲੋ ਅਤੇ ਉਹ ਇੱਕ ਕਮਾਂਡ ਜਾਣੋ ਜੋ ਇਸਨੂੰ ਵਾਪਸ ਲਿਆਉਂਦੀ ਹੈ। ASA ’ਤੇ ਇਸਦਾ ਮਤਲਬ ਸੰਭਾਲੀ ਕਾਪੀ ਅਤੇ ਮੇਲ ਖਾਂਦਾ ਬਹਾਲੀ ਰਸਤਾ ਹੈ, ਨਾ ਕਿ ਇਹ ਯਾਦ ਕਿ ਤੁਸੀਂ ਕੀ ਸੋਧਿਆ। ਬਦਲਾਅ ਅਜੇ ਕਾਲਪਨਿਕ ਹੁੰਦਿਆਂ ਹੀ ਬਹਾਲੀ ਕਮਾਂਡ ਬਦਲਾਅ ਟਿਕਟ ਵਿੱਚ ਲਿਖੋ। ਫਿਰ ਉਹੀ ਤਿੰਨ ਜਾਂਚਾਂ ਦੁਬਾਰਾ ਚਲਾਓ: IKE ਸਥਿਤੀ, IPsec SA ਜੋੜੇ, ਹਰ ਜੋੜੇ ਲਈ ਇੱਕ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਪ੍ਰਵਾਹ।

ਜੇ ਬਹਾਲੀ ਤੋਂ ਬਾਅਦ ਵੀ ਜੋੜਾ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਬਦਲਾਅ ਕਾਰਨ ਨਹੀਂ ਸੀ, ਅਤੇ ਤੁਸੀਂ ਦੂਜੀ ਰੁਕਾਵਟ ਤੋਂ ਬਚ ਗਏ।