له Cisco ASA څخه Azure VPN ته: د ترافیک انتخابونکي د مختلکو جوړې

تونل پورته کیږي، IKE روغ ښکاري، او له هغې څخه هېڅ نه تېریږي. دا د ASA څخه Azure ته د انتخابونکي ستونزې معمولي بڼه ده، او له همدې امله زه تړون لیکم مخکې له دې چې کوم کنسول ته لاس ووړم. تړون څلور شیان دي: هغه شیان چې هر همکار پېژني، د اړیکې ماډل، سمې مختلکې جوړې، او هغه تصدیق چې هر جوړه ثابوي. دا غلط کړئ او هر وروستی حکم به هغه ترتیبات ډیبګ کړي چې تاسو یې نه باید جوړ کړي وای. دا لارښود هغه ترتیب دی چې زه یې کاروم، د هغو حکمونو سره چې ښیي کوم شی واقعاً غلط دی.

مخکې له ترتیباتو څلور شیان ولیکئ

له ASA خپریدو او پلیټ فارم، عامه پای ټکي، د Azure VPN ګېټوې ډول او SKU، او هغه ځایي شبکه ګېټوې څخه پیل وکړئ چې ستاسو خوا استازیتوب کوي. دا څلور نومونه د هر هغه څه لغت دی چې ورپسې راځي، او هر یو بېل مسؤل لري کله چې یو شی مات شي.

که د دوی دوه لا هم اټکل وي، ودرېږئ. د ځایي شبکه ګېټوې غلطې مختلکې لیست د تنظیم ستونزه نه ده.

یو د اړیکې ماډل وټاکئ او د کالبدونو ګډول بند کړئ

crypto map ډیزاین او tunnel interface ډیزاین بېل ترتیبات دي، او د یو کالبد د بل لپاره د همکار پته بدلولو سره سم نه کیږي. مخکې له دې چې یو شی وڅښئ ولیکئ چې کوم یو جوړوئ، ځکه چې ناسمونکې وروسته د ترتیباتو غلطۍ په توګه نه، بلکې د انتخابونکي ستونزې په توګه څرګندیږي. د Microsoft د ASA د متقابل عمل لارښود دواړه بڼې پوښي او وایي چې هر یو کوم د Azure ګېټوې ماډل غوښتنه کوي. که ستاسو یادښتونه ماډل نه نوموي، لا هم ډیزاین نه لرئ.

د پالیسۍ پر بنسټ د ترافیک انتخابونکو سره د لارې پر بنسټ Azure ګېټوې یو ځانګړی مستند شوی انتخاب دی، نه اصلي. که ستاسو ډیزاین پر هغې تکیه کوي، ډیزاین باید دا ووایي، ځکه چې اصلي د لارې پر بنسټ انتخابونکي ماډل د Azure په خوا کې بل ډول چلند کوي.

د نسخې محدودیتونه هم تړون ته اړه لري. د کوډ کولو ډومینونو د حد په اړه زوړ ساحوي راپور د ځانګړو خپریدو په اړه معلومات دي، نه د هر ASA تلپاتې ځانګړتیا.

مجموعې نه، د مختلکو جوړې وشمېرئ

مټریکس ولیکئ. له ځایي A او B څخه Azure X او Y ته څلور جوړې دي، او هر یوه ته پوښ یا روښانه استثنا ته اړتیا ده. A او B په یوه مجموعه کې یوځای کول هغه څه هم شاملوي چې د دوی ترمنځ دي، او په دې توګه ډیزاین په خاموشۍ سره سوری لویوي.

هغه څه وګورئ چې همکارانو خبرې اترې کړې، نه هغه څه چې تاسو خوندي کړي. په ASA کې د ځایي او لرې شبکو لیست نیت دی؛ CHILD SA پایله ده.

کله چې جوړه ورکه وي، سمون معمولاً د access-list کرښه یا د انتخابونکي ننوتل دي، نه نوی تونل.

د هغو حکمونو سره تصدیق کړئ چې شی نوموي

په ASA کې IKE غونډه، بیا IPsec SA، بیا د انتخابونکي جوړې تایید کړئ. هر حکم بېل پوښتنې ته ځواب وایي، او یوازې لومړی چلول هغه څه دي چې «تونل پورته دی» درواغجن نتیجه جوړوي. د هغه همکار لپاره چې واقعاً یې ترتیب کړی، نه د هغه SA لپاره چې په لیست کې لومړی راځي، پایلې ولولئ. د Azure خوا هم همدغو درې پوښتنو ته له خپل لید څخه ځواب وایي.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

بیا له Azure څخه د اړیکې حالت az network vpn-connection show --name <connection> --query connectionStatus سره وپوښتئ. د معلوماتو په لاره کې د صفر بایټ سره «نښلول شوی» د لارې ستونزه نه، د انتخابونکي ستونزه ده.

د هرې جوړې لپاره یو اجازه شوی بهیر وآزموئ، هغه سرچینه پته وګورئ چې بلې خوا ته ښکاري، او یو هغه سرچینه وآزموئ چې باید رد شي. یوازې هغه وروستی ازموینه ثابوي چې پوله لا هم شته.

د کوډ کولو ساحه د لاسرسي اجازې څخه جلا وساتئ

پراخ انتخابونکی اجازه نه ده. که ملاتړ شوی ترتیب د اپلیکیشن پالیسۍ څخه پراخ وي، تنګ خدمتونه په firewall قواعدو کې وساتئ او د کوډ کولو ساحه هغه ځای کې پرېږدئ چې باید وي.

د Azure کاري بار لارې او ځایي بیرته راستنیدو لارې جلا څیړل کیږي. BGP اعلانونه، ثابته شبکه ساحه او د کارونکي تعریف شوې لارې باید ورته لاره بیان کړي، او هیڅ یو یې نه شي کولی د همکار ترانسپورت په تکراري توګه ونیسي.

بیرته راګرځېدل او هغه ثبوت چې کار وکړ

مخکې له دې چې انتخابونکي بدل کړئ پخوانی چلېدونکی ترتیب وساتئ، او هغه یو حکم وپېژنئ چې هغه بیرته راولي. په ASA کې دا د خوندي کاپي او د هغې سره سم د بیا رغونې لار مانا لري، نه د هغه څه یاد چې تاسو یې سم کړي. تر هغه چې بدلون لا فرضي دی، د بیا رغونې حکم په بدلون ټکټ کې ولیکئ. بیا همدغه درې څیړنې بیا چل کړئ: IKE حالت، IPsec SA جوړې، د هرې جوړې لپاره یو اجازه شوی بهیر.

که له بیا رغونې وروسته هم جوړه ناکامه شي، بدلون لامل نه و، او تاسو یوازې ځان له دویم خنډ څخه وژغورئ.