Cisco ASA ਟਨਲਡ ਡਿਫਾਲਟ ਰੂਟ: ਇਹ ਅਸਲ ਵਿੱਚ ਕਦੋਂ ਲਾਗੂ ਹੁੰਦਾ ਹੈ

ਰਿਮੋਟ-ਐਕਸੈਸ ਵਰਤੋਂਕਾਰ ASA ਤੋਂ ਪਾਰ ਕਿਸੇ ਚੀਜ਼ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦਾ, ਜਦੋਂ ਕਿ ਉਹੀ ਸਰਵਰ ਅੰਦਰੂਨੀ LAN ਤੋਂ ਆਉਣ ਵਾਲੇ ਪਿੰਗਾਂ ਦਾ ਜਵਾਬ ਦਿੰਦਾ ਹੈ। ਟਨਲ ਉੱਠਦਾ ਹੈ, ਕਲਾਇੰਟ ਨੂੰ ਪੂਲ ਤੋਂ ਐਡਰੈੱਸ ਮਿਲਦਾ ਹੈ, ਪਰ ਪੈਕੇਟ ਫਿਰ ਵੀ ਇੰਟਰਨੈੱਟ ਡਿਫਾਲਟ ਰਾਹੀਂ ਬਾਹਰ ਜਾਂਦਾ ਹੈ ਜਾਂ ਗਾਇਬ ਹੋ ਜਾਂਦਾ ਹੈ। ਇਹ ਪੈਟਰਨ ਆਮ ਤੌਰ 'ਤੇ ਦੱਸਦਾ ਹੈ ਕਿ ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਆਪਣਾ ਰੂਟ ਨਹੀਂ ਮਿਲਿਆ ਅਤੇ ਉਹ ਆਮ ਡਿਫਾਲਟ 'ਤੇ ਡਿੱਗ ਗਿਆ। ਹੱਲ ਇੱਕ ਹੋਰ NAT ਨਿਯਮ ਨਹੀਂ; ਹੱਲ ਟਨਲਡ ਡਿਫਾਲਟ ਹੈ।

ਕਾਨਫਿਗ ਤੋਂ ਨਹੀਂ, ਲੱਛਣ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ

ਪੈਕੇਟ ਕਿੱਥੇ ਜਾ ਰਿਹਾ ਹੈ ਇਹ ਦੇਖੋ, ਤੁਸੀਂ ਕਿੱਥੇ ਜਾਣ ਦੀ ਉਮੀਦ ਕੀਤੀ ਸੀ ਉਹ ਨਹੀਂ। ਅਸਫਲ ਸੈਸ਼ਨ ਦੌਰਾਨ ਬਾਹਰੀ ਇੰਟਰਫੇਸ 'ਤੇ ਲਿਆ ਕੈਪਚਰ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਡੀਕ੍ਰਿਪਟ ਕੀਤਾ ਪੈਕੇਟ ਪੂਲ ਦਾ ਐਡਰੈੱਸ ਹਾਲੇ ਵੀ ਸਹੀ ਹੁੰਦਿਆਂ ISP ਗੇਟਵੇ ਵੱਲ ਜਾ ਰਿਹਾ ਹੈ, ਜਾਂ ਕੁਝ ਵੀ ਨਹੀਂ ਦਿਖਾਉਂਦਾ ਕਿਉਂਕਿ ਖੋਜ ਅਸਫਲ ਹੋ ਗਈ। ਦੋਵਾਂ ਹਾਲਤਾਂ ਵਿੱਚ ਟਨਲ ਸਮੱਸਿਆ ਨਹੀਂ ਹੈ।

show vpn-sessiondb ਵਿੱਚ ਟਨਲ ਤੰਦਰੁਸਤ ਦਿਸਦਾ ਹੈ, ਅਤੇ ਇਸੇ ਕਰਕੇ ਲੋਕ IKE ਨੂੰ ਡੀਬੱਗ ਕਰਦੇ ਰਹਿੰਦੇ ਹਨ।

ACL ਡ੍ਰਾਪ ਤੋਂ ਇਸ ਨੂੰ ਦਿਸ਼ਾ ਵੱਖਰਿਆਉਂਦੀ ਹੈ। ACL ਡ੍ਰਾਪ ਲੌਗ ਹੁੰਦਾ ਹੈ ਤੇ ਗਿਣਿਆ ਜਾਂਦਾ ਹੈ, ਪਰ ਗੁੰਮ ਰੂਟ ਬਿਨਾਂ ਮਿਲਦੀ ਐਂਟਰੀ ਦੇ ਖੋਜ ਅਸਫਲਤਾ ਪੈਦਾ ਕਰਦਾ ਹੈ। ਕਲਾਇੰਟ ਦੇ ਟਿਕਾਣੇ ਲਈ show route ਚਲਾਓ ਅਤੇ ਪੜ੍ਹੋ ਕਿ ASA ਨੇ ਅਸਲ ਵਿੱਚ ਕੀ ਚੁਣਿਆ, ਇਹ ਵੀ ਕਿ ਡਿਫਾਲਟ ਚੁਣਿਆ ਗਿਆ ਸੀ ਜਾਂ ਨਹੀਂ ਅਤੇ ਕਿਹੜਾ।

ਟਨਲਡ ਖੋਜ ਕਿਵੇਂ ਵੱਖਰੀ ਹੈ

Cisco ਦੀ ASA 9.23 ਸਟੈਟਿਕ-ਰਾਊਟਿੰਗ ਗਾਈਡ ਵਿੱਚ ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ VPN ਟ੍ਰੈਫਿਕ ਲਈ ਵੱਖਰਾ ਡਿਫਾਲਟ ਦਰਜ ਹੈ, ਜਿਸਦਾ ਕੋਈ ਸਟੈਟਿਕ ਜਾਂ ਸਿੱਖਿਆ ਹੋਇਆ ਰੂਟ ਨਹੀਂ ਹੁੰਦਾ। tunneled ਕੀਵਰਡ ਉਸ ਰੂਟ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ, ਇਸ ਲਈ ਡੀਕ੍ਰਿਪਟ ਕੀਤਾ ਪੈਕੇਟ ASA ਆਪਣੇ ਟ੍ਰਾਂਸਪੋਰਟ ਲਈ ਵਰਤਦਾ ਹੈ ਉਸ ਨਾਲੋਂ ਵੱਖਰੇ ਅਗਲੇ ਹੌਪ 'ਤੇ ਡਿੱਗ ਸਕਦਾ ਹੈ। ਹੋਰ ਖਾਸ ਰੂਟ ਫਿਰ ਵੀ ਜਿੱਤਦੇ ਹਨ, ਇਸੇ ਕਰਕੇ ਕਲਾਇੰਟ ਅੰਦਰੂਨੀ ਗੇਟਵੇ ਰਾਹੀਂ 10.0.0.0/8 ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ ਅਤੇ ਬਾਕੀ ਸਭ ਗੁਆ ਦਿੰਦਾ ਹੈ।

ਘੱਟੋ-ਘੱਟ ਲੇਆਉਟ ਵੱਖਰੇ ਅਗਲੇ ਹੌਪਾਂ ਵਾਲੇ ਦੋ ਡਿਫਾਲਟ ਰੱਖਦਾ ਹੈ। ਇੱਕ ASA ਦਾ ਆਪਣਾ ਟ੍ਰੈਫਿਕ ਢੋਂਦਾ ਹੈ, ਦੂਜਾ ਬਿਹਤਰ ਰੂਟ ਤੋਂ ਬਿਨਾਂ ਡੀਕ੍ਰਿਪਟ ਕੀਤਾ ਟ੍ਰੈਫਿਕ ਢੋਂਦਾ ਹੈ। ਦੋਵੇਂ ਅਗਲੇ ਹੌਪ ਉਸ ਇੰਟਰਫੇਸ ਤੋਂ ਪਹੁੰਚਯੋਗ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ ਜਿਸ ਨਾਲ ਤੁਸੀਂ ਉਹਨਾਂ ਨੂੰ ਜੋੜਦੇ ਹੋ।

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

ਜੇ ਦੋਵੇਂ ਡਿਫਾਲਟ ਇੱਕੋ ਅਗਲੇ ਹੌਪ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੇ ਹਨ, ਕੀਵਰਡ ਕੁਝ ਨਹੀਂ ਬਦਲਦਾ ਅਤੇ ਲੱਛਣ ਨਹੀਂ ਹਿੱਲੇਗਾ।

ਉਹ ਪਾਬੰਦੀਆਂ ਜੋ ਤੈਅ ਕਰਦੀਆਂ ਹਨ ਕਿ ਇਹ ਕੰਮ ਕਰੇਗਾ ਜਾਂ ਨਹੀਂ

ਉਹੀ ਗਾਈਡ ਸਿਰਫ਼ ਇੱਕ ਟਨਲਡ ਡਿਫਾਲਟ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ ਅਤੇ ਕਹਿੰਦੀ ਹੈ ਕਿ ਇਸ ਲਈ ECMP ਸਮਰਥਿਤ ਨਹੀਂ, ਇਸ ਲਈ ਤੁਸੀਂ ਉਸ ਰਾਹ 'ਤੇ ਲੋਡ-ਸ਼ੇਅਰ ਨਹੀਂ ਕਰ ਸਕਦੇ। ਇਹ ਰੂਟ ਟ੍ਰੈਕਿੰਗ, ਰਿਵਰਸ-ਪਾਥ ਪੜਤਾਲ ਅਤੇ ਕੁਝ ਇੰਸਪੈਕਸ਼ਨ ਤੇ ਪ੍ਰਬੰਧਨ ਫਲੋ ਨਾਲ ਸੰਬੰਧਿਤ ਪਾਬੰਦੀਆਂ ਵੀ ਸੂਚੀਬੱਧ ਕਰਦੀ ਹੈ। ਫੀਚਰ ਦੁਆਲੇ ਡਿਜ਼ਾਈਨ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇਹਨਾਂ ਨੂੰ ਆਪਣੀ ਇੰਸਟਾਲ ਕੀਤੀ ਰਿਲੀਜ਼ ਦੇ ਹਵਾਲੇ ਨਾਲ ਪੜ੍ਹੋ। ਇਹਨਾਂ ਨੂੰ ਅਣਡਿੱਠ ਕਰਨ ਵਾਲਾ ਡਿਜ਼ਾਈਨ ਆਮ ਤੌਰ 'ਤੇ ਹਰ ਥਾਂ ਨਹੀਂ, ਇੱਕ ਖਾਸ ਥਾਂ 'ਤੇ ਅਸਫਲ ਹੁੰਦਾ ਹੈ, ਇਸੇ ਕਰਕੇ ਲੱਛਣ ਰੁਕ-ਰੁਕ ਕੇ ਆਉਂਦਾ ਜਾਪਦਾ ਹੈ।

ਅਸਮਮਿਤ ਡਿਜ਼ਾਈਨਾਂ ਵਿੱਚ ਰਿਵਰਸ-ਪਾਥ ਪੜਤਾਲ ਹੀ ਸਭ ਤੋਂ ਵੱਧ ਕੱਟਦੀ ਹੈ। ਜੇ ਜਵਾਬ ASA ਦੀ ਉਮੀਦ ਵਾਲੇ ਇੰਟਰਫੇਸ ਤੋਂ ਵੱਖਰੇ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਆਵੇਗਾ, ਪੈਕੇਟ ਰਾਊਟਿੰਗ ਦਾ ਮਹੱਤਵ ਆਉਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਸੁੱਟ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਪੜਤਾਲ ਬੰਦ ਕਰਕੇ ਅਗਲਾ ਹੌਪ ਥੋਪਣ ਦੀ ਥਾਂ ਟੋਪੋਲੋਜੀ ਜਾਂ ਵਾਪਸੀ ਦਾ ਰਾਹ ਠੀਕ ਕਰੋ।

ਰੂਟ ਟ੍ਰੈਕਿੰਗ ਵੱਖਰੀ ਜਾਲ ਹੈ: ਟ੍ਰੈਕ ਕੀਤੀ ਆਬਜੈਕਟ ਆਮ ਤੌਰ 'ਤੇ ਆਮ ਡਿਫਾਲਟ ਦੀ ਰਾਖੀ ਕਰਦੀ ਹੈ, ਟਨਲਡ ਦੀ ਨਹੀਂ।

ਕੀਵਰਡ ਕੀ ਨਹੀਂ ਕਰਦਾ

ਇਹ ਉਹ ਸਰੋਤ ਐਡਰੈੱਸ ਨਹੀਂ ਚੁਣਦਾ ਜੋ ASA IKE ਬਣਾਉਣ ਲਈ ਵਰਤਦਾ ਹੈ। ਬਾਹਰੀ ਟਨਲ ਸਿਰਾ ਪਲੇਟਫਾਰਮ ਦੀ ਆਪਣੀ ਇੰਟਰਫੇਸ ਤੇ ਸਰੋਤ ਚੋਣ ਦੀ ਪਾਲਣਾ ਕਰਦਾ ਹੈ, ਅਤੇ ਟਨਲਡ ਡਿਫਾਲਟ ਦਾ ਉਸ ਫੈਸਲੇ ਵਿੱਚ ਕੋਈ ਹਿੱਸਾ ਨਹੀਂ। ਇਸਨੂੰ ਬਦਲਣ ਨਾਲ ਗਲਤ ਐਡਰੈੱਸ ਤੋਂ ਸ਼ੁਰੂ ਹੋਣ ਵਾਲਾ phase 1 ਠੀਕ ਨਹੀਂ ਹੋਵੇਗਾ।

ਇਹ ਅਗਲੇ ਹੌਪ ਨੂੰ ਪ੍ਰੌਕਸੀ ਵੀ ਨਹੀਂ ਬਣਾਉਂਦਾ। ਜੇ ਟਿਕਾਣਾ HTTP CONNECT ਤਬਾਦਲੇ ਦੀ ਉਮੀਦ ਕਰਦਾ ਹੈ, ਪ੍ਰੌਕਸੀ ਹੋਸਟ ਨੂੰ ਕੱਚੇ IP ਪੈਕੇਟ ਭੇਜਣ ਨਾਲ ਤੁਹਾਨੂੰ ਸਿਰਫ਼ ਉਹ ਹੋਸਟ ਮਿਲਦਾ ਹੈ ਜੋ ਉਹਨਾਂ ਨੂੰ ਰਾਊਟ ਨਹੀਂ ਕਰ ਰਿਹਾ। ਇਸਦੀ ਥਾਂ ਕਲਾਇੰਟ ਵੱਲੋਂ ਸਮਰਥਿਤ ਪ੍ਰੌਕਸੀ ਵਿਧੀ ਕਾਨਫਿਗਰ ਕਰੋ।

ਅਤੇ ਇਹ ਹੇਠਾਂ ਵੱਲ ਫਾਰਵਰਡਿੰਗ ਨਹੀਂ ਬਣਾਉਂਦਾ। ਜਿਸ ਗੇਟਵੇ ਵੱਲ ਤੁਸੀਂ ਇਸ਼ਾਰਾ ਕਰਦੇ ਹੋ, ਉਸਨੂੰ ਹਾਲੇ ਵੀ VPN ਪੂਲ ਵੱਲ ਵਾਪਸੀ ਰੂਟ ਚਾਹੀਦਾ ਹੈ, ਨਾਲ ਹੀ ਜਿੱਥੇ ਡਿਜ਼ਾਈਨ ਮੰਗਦਾ ਹੈ ਉੱਥੇ ਸਰੋਤ ਅਨੁਵਾਦ ਵੀ।

ਰਾਹ ਨੂੰ ਸ਼ੁਰੂ ਤੋਂ ਅੰਤ ਤੱਕ ਪਰਖੋ

ਰੂਟ ਲੱਗਣ ਤੋਂ ਬਾਅਦ ਚਾਰ ਚੀਜ਼ਾਂ ਕ੍ਰਮ ਨਾਲ ਜਾਂਚੋ: ਪੂਲ ਨੂੰ ਲੋੜੀਂਦੇ ਟਿਕਾਣੇ ਲਈ show route, ਨਵੇਂ ਅਗਲੇ ਹੌਪ ਵੱਲ ਦੇ ਇੰਟਰਫੇਸ 'ਤੇ ਕੈਪਚਰ, ਗੇਟਵੇ 'ਤੇ ਹੀ ਕੈਪਚਰ, ਅਤੇ ਉਸ ਗੇਟਵੇ ਤੋਂ ਪੂਲ ਦੇ ਐਡਰੈੱਸ ਤੱਕ ਵਾਪਸੀ ਦਾ ਰਾਹ। ਪਹਿਲੇ ਦੋ ਸਾਬਤ ਕਰਦੇ ਹਨ ਕਿ ASA ਨੇ ਉਹ ਰਾਹ ਚੁਣਿਆ, ਅਤੇ ਆਖਰੀ ਦੋ ਸਾਬਤ ਕਰਦੇ ਹਨ ਕਿ ਉੱਥੇ ਕੋਈ ਜਵਾਬ ਦੇ ਰਿਹਾ ਹੈ।

ਜੇ ਗੇਟਵੇ ਜਵਾਬ ਦਿੰਦਾ ਹੈ ਪਰ ਕਲਾਇੰਟ ਨੂੰ ਕਦੇ ਜਵਾਬ ਨਹੀਂ ਦਿਸਦਾ, ਤਾਂ ਰਾਊਟਿੰਗ ਟੇਬਲ ਨੂੰ ਦੁਬਾਰਾ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਸਰੋਤ ਅਨੁਵਾਦ ਅਤੇ ਵਾਪਸੀ ਰੂਟ ਦੇਖੋ।

ਜਿਸ ਰਿਲੀਜ਼ 'ਤੇ ਤੁਸੀਂ ਪਰਖਿਆ ਉਹ ਦਰਜ ਕਰੋ, ਕਿਉਂਕਿ ਪਾਬੰਦੀਆਂ ਦੀ ਸੂਚੀ ਵਰਜਨ-ਖਾਸ ਹੈ ਅਤੇ ਇੱਕ ਟਰੇਨ 'ਤੇ ਕੰਮ ਕਰਨ ਵਾਲੇ ਡਿਜ਼ਾਈਨ ਨੂੰ ਦੂਜੇ 'ਤੇ ਵੱਖਰਾ ਰਾਹ ਚਾਹੀਦਾ ਹੋ ਸਕਦਾ ਹੈ। ਉਹ ਨੋਟ ਕਾਨਫਿਗ ਸਨਿੱਪਟ ਨਾਲੋਂ ਵੱਧ ਚਿਰ ਰਹਿੰਦਾ ਹੈ।