د ASA packet-tracer سره د VPN بهیر څنګه ماډل کړو

په ASA کې packet-tracer یوې تنګې پوښتنې ته ځواب ورکوي: آیا دا کڅوړه، چې دلته د دې ټاپل سره ننوځي، به اجازه ولري، او چېرته به ځي۔ دا ځواب نه ورکوي چې لرې پای څه ترلاسه کوي۔ معمولي تېروتنه دا ده چې بهرنی IKE ټاپل ورکړل شي، کله چې هغه څه چې غواړئ وازموئ د تونل دننه روان تطبیق وي۔ لومړی ټاپل سم کړئ، پړاوونه ولولئ، او بیا د هر هغه څه لپاره چې سیمولټر نه شي لیدلی ریښتیني شواهد ترلاسه کړئ۔

لاندې تګلاره فرض کوي چې ACL، د NAT قاعده او tunnel-group شرایط ستاسو مخې ته دي۔ پرته له دوی بهرني پایلې داسې تګلاره بیانوي چې تاسو نه شئ کتلی۔

ګام 1: دننی بهیر په ساده کلمو ولیکئ

له هر څه لیکلو مخکې تطبیق تشریح کړئ۔ دننی کوربه چې د لرې دروازې شاته سرور ته SSH پرانیزي، هغه یو دننی TCP بهیر دی چې ځانګړی سرچینه پورټ لري۔ ACL او د VPN فلټر هماغه بهیر ارزوي، نو هغه بهیر چې تاسو یې لیکئ هماغه دی۔

دا د یوې جملې په توګه ولیکئ، بیا د ساحې په ساحه ژباړه کړئ:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

ګام 2: د ننوتلو انټرفیس او لوری وټاکئ

ننوتل هغه انټرفیس دی چې کڅوړه پرې رسیږي، نه هغه چې پرې وځي۔ د LAN کوربه لپاره چې پیل کوي، هغه inside انټرفیس دی۔ د هماغه ناستې د بېرته راتلو کڅوړې لپاره هغه outside انټرفیس دی، او ټاپل بدلیږي۔ منزل د سرچینې په توګه لیکل د باوري خو بېځایه ALLOW ترلاسه کولو دوهم ترټولو عامه لاره ده۔

پورټونه هم لوری لري۔ په پیل شوې غوښتنه کې د خدمت پورټ د منزل ساحې کې دی، او د مراجعې لنډمهاله پورټ د سرچینې ساحې کې دی۔ د TCP منزل 500 سره ماډل هغه TCP تطبیق بیانوي چې پر 500 غوږ نیسي؛ یوازې د دې لپاره چې شمیره په بولۍ کې راځي IKE ازموینه نه کیږي۔

ګام 3: پړاوونه په ترتیب ولولئ

په پایله کې هر پړاو یو پرېکړه ده چې خاوند لري: د لارې پلټنه، ACL، NAT، بیا د VPN یا تونل ټاکنه۔ دوی په چاپ شوي ترتیب ولولئ او په لومړي پړاو کې ودرېږئ چې له ډیزاین سره نه ځي۔

NAT خلک نښلي۔ که ژباړل شوې سرچینه د crypto ACL څخه بهر وي چې د تونل لپاره ترافیک ټاکي، بهیر اجازه موندلی شي او کله هم نه شي بندېدلی۔ تعقیب ژباړل شوی پته چاپوي، نو هغه له اصلي پتې سره نه، بلکې د تونل له زړه پورې ترافیک سره پرتله کړئ۔

ګام 4: وګورئ کوم تېښتې مو ټاکلي

detailed بڼه هغه اختیارونه اخلي چې کتنې پرېږدي، او Cisco د bypass-checks اختیار مستند کوي چې ACL، د VPN فلټر، uRPF او د IPsec جعل کتنې پوښي۔ له دوی سره ترلاسه شوی ALLOW وایي چې لاره او NAT به کار وکړي، نه دا چې تګلاره به ریښتینې کڅوړه ومني۔ اختیارونه د پایلې ترڅنګ ولیکئ۔

که د تګلارې ځواب ته اړتیا لرئ، پرته له تېښتو یې چل کړئ۔ که د لارښوونې پوښتنه جلا کوئ، له دوی سره یې چل کړئ او پایله د لارښوونې ځواب په توګه نښه کړئ۔

ګام 5: تشه د ریښتیني تبادلې سره بنده کړئ

سیمول شوې اجازه په ASA کې ودریږي۔ آیا لرې دروازه کڅوړه روښانه کړه، آیا سرور اړیکه ومنله، او آیا ځواب بېرته راغی، دا جلا کتنې دي۔ د پای ټکي شمېرونکي وکاروئ یا په تصویب شوې لار کې یوه تنګه نیونه۔

ځینې trace او replay اختیارونه کڅوړې لیږي یا حالت ساتي۔ د هر ډول سره د یوازې لوستلو پلټنې په توګه چلند کولو پرځای د خپل خپریدو او تصویب شوې تشخیصي پروسیجر لپاره مستند چلند تعقیب کړئ۔

چې تعقیب لا هم نه شي ویلی

په یوه یادښت کې څلور شیان وساتئ: ټاپل، ورته NAT قاعده، هغه تونل یا تګلاره چې بهیر باید یوسي، او د لوري ځانګړې کتنه۔ پرته له دوی بهرنی انجنیر نه شي کولی ځایي تګلاره پرېکړه له تاسیس شوې کنټرول طبقې او له کار کوونکې خدمت څخه جلا کړي۔ لومړنی ناکامي چې وروسته بریالیتوب وي هم دا ثبوت نه دی چې تونل باید په دې منځ کې پورته شوی وي؛ پړاو او د حالت بدلون ولیکئ۔

له دنني ټاپل پیل کړئ، په لومړي پړاو کې چې له ډیزاین سره مخالف وي ودرېږئ، او بیا وروسته د پای ټکي شواهدو ته ورشئ۔ تعقیب د تګلارې اوراکل دی، د تحویلي رسید نه۔