له IOS څخه ASA ته د VPN لېږد: تړون وژباړه، نه CLI
crypto map د ASA tunnel-group نه دی۔ د تړون کومې برخې لېږدېږي، کومې بیا جوړېږي، او هغه ازموینې چې ثابتوي خدمت کار کوي۔
د IOS هغه ترتیبات چې د ASA لېږد لپاره د حوالې په توګه راځي، یو تړون بیانوي چې د یوې پلیټفارم په نحو کې پټ دی۔ د پیر ادرسونه، هویتونه او ساتل شوې سیمې تړون دي۔ key ring، پروفایل او crypto map لړۍ هغه څه دي چې IOS پرې بیانوي، پداسې حال کې چې ASA هماغه موخه د tunnel group او د هغوی د ځانګړنو له لارې بیانوي۔ دویمه برخه کاپي کول هیڅکله کار نه کوي، او یوازې لومړۍ برخه کاپي کول کار نیمګړی پرېږدي۔
لاندې پنځه ګامه په ترتیب سره ترسره کړه، او هغه ځای ودرېږه چې دوه پلیټفارمونه جلا شیان بیانوي نه جلا کلمې۔
ګام 1: تړون له نحوه جلا کړه
سپارل داسې غوښتنې ولیکه چې دواړه مدیران پرې موافق وي۔ څلور کرښې تقریباً ټول پوښي: پیر چېرې دی او کوم لوری پیل کوي، هر لوری څنګه خپل هویت ثابتوي، کومه ساتنه منښته ده، او کومې اپلیکیشنې باید د تونل نه ژوندۍ پاتې شي۔ له دې کرښو کومه هم د کمانډ نوم نه اخلي۔
اصلي متن د لارښوونې نه بلکه د شاهد په توګه وساته۔ هغه کرښه چې په یوه پلیټفارم کې وي او په بل کې نه وي، د نحو توپیر دی تر څو چې ونه ګورې چې هماغه غوښتنه په بله لاره پوره کېدای شي۔
| Requirement | What must be agreed |
|---|---|
| Peer delivery | Outer endpoint, address family, NAT view, initiating side |
| Authentication | IKE version, expected identities, credential method and delivery |
| Data protection | Permitted suites, protected ranges, intentional translation |
| Application | Routes, return routes, resources beyond the tunnel |
ګام 2: په هر پلیټفارم کې شیانو ته نومونه ورکړه
په IOS XE کې IKEv2 key ring د IKEv2 پروفایل تغذیه کوي، او هغه پروفایل د crypto map یا IPsec پروفایل له لارې نښلول کېږي۔ په ASA کې tunnel group د connection profile او د هغې IPsec ځانګړنې ساتي، او crypto map هغې ته اشاره کوي، لکه څنګه چې د connection profile لارښود بیانوي۔ دا د بېلابېل میراث سره بېلابېل شی-ګرافونه دي، نو له همدې امله کرښه په کرښه نقشه کول هغه ترتیبات ورکوي چې پارس کېږي او نه نښلېږي۔
هدف شیان له غوښتنې کرښو جوړ کړه نه له سرچینې کرښو۔ که کرښې بشپړې وي، هدف ترتیبات یو ډیزاین پرېکړه ده۔ که نه وي، هېڅ اندازه د کمانډ ژباړې ورکه موخه نه شي راوړلی۔
ګام 3: یوازې ادرسونه نه، هویت هم یوسه
هویت هغه برخه ده چې په خاموشۍ ماتېږي۔ هغه پیر چې د ادرس له مخې تصدیق کېږي، د هغه له چلند توپیر لري چې د سند موضوع یا FQDN له مخې تصدیق کېږي، او دواړه پلیټفارمونه هغه تمه په بېلابېلو ځایونو ثبتوي۔ د ازموینې اسانتیا لپاره ګډ پټ نه، بلکې پام شوی هویت او د باور لړۍ وساته۔
مخکې شریک شوی پټ د پرتله یادښتونو او ټکټونو نه بهر وساته۔ ولیکه چې څوک یې مالک دی او د منل شوې لارې له مخې څنګه ګرځي، او په یاد وساته چې د اسنادو د بېلګې پلیس هولډر د پیرودونکي اعتبار نه دی۔
ګام 4: له بدلون مخکې پر ساتنه موافقه وکړه
زاړه کریپټوګرافیک تنظیمات یوازې ځکه مه لېږه چې په ورکړل شوي متن کې دي۔ د هغو سویټونو پر مشترکې برخې موافقه وکړه چې دواړه ځای پر ځای شوي پیرونه یې اوس ملاتړ کوي، او د بدلون کړکۍ نه مخکې له بل مدیر سره یې تایید کړه۔ که هغه مشترکه برخه له اوسني پیر د تمې توپیر ولري، دا همغږی شوی بدلون دی نه ځایي سمون۔
موافقه شوې ټولګه ولیکه۔ د یوې تلیفوني زنګ په اړه بېلابېل یادونه لرونکي دوه مدیران هماغه څه دي چې بدلون ته د دویم پړاو ناسم والی راوړي۔
ګام 5: خدمت تصدیق کړه، نه نحو
لومړی د هدف اغېزمن شیان وګوره، بیا منل شوې اړیکه، بیا ریښتینی اپلیکیشن بهیر او ځواب۔ پرته له تېروتنې د کمانډ ټایپ کول یوازې نحو ثابتوي او نور هېڅ۔ تونل چې پورته شي او ترافیک ونه لېږي، معمولاً مانا دا ده چې ساتل شوې سیمې یا د بېرته راستنېدو لار له بل لوري سره سمې نه دي، چې د غوښتنې کرښې ستونزه ده نه د کمانډ۔ crypto map بیا له لاس وهلو مخکې د دواړو خواوو ساتل شوې سیمې پرتله کړه۔
ولیكه چې څه تصدیق کړل، له کومو ادرسونو، له کوم لوري۔ هغه ثبت د VPN د پورته کېدو دوه ډوله ادعا په داسې څه بدلوي چې بل مدیر یې په خپلواکه توګه کتلی شي۔
څه باید بېرته وسپارې
د غوښتنو میټریکس، د هدف ترتیباتو لنډیز او د تصدیق پایلې ولېږه۔ په روښانه توګه ولیکه چې کومې سرچینې تنظیماتې نه دي لېږل شوي او ولې۔ هغه لړلیک له ژباړل شوو ترتیباتو ډېر ګټور دی، ځکه چې راتلونکې ناسم والی هماغه ځای نه پیل کېږي۔
سرچینه متن هم له ټکټ سره وساته۔ هغه ښیي چې څه غوښتل شوي وو، پداسې حال کې چې میټریکس ښیي چې پر څه موافقه شوې وه۔