Cum să modelați un flux VPN cu ASA packet-tracer

Packet-tracer pe un ASA răspunde la o întrebare îngustă: ar fi permis acest pachet, care intră aici cu acest tuplu, și încotro s-ar duce. Nu răspunde dacă capătul îndepărtat primește ceva. Greșeala obișnuită este să furnizați un tuplu IKE exterior atunci când lucrul pe care vreți să-l testați este aplicația care călătorește în interiorul tunelului. Corectați mai întâi tuplul, citiți fazele și apoi obțineți dovezi reale pentru tot ce simulatorul nu poate vedea.

Parcursul de mai jos presupune că ACL-ul, regula NAT și contextul tunnel-group sunt în fața dumneavoastră. Fără ele, ieșirea descrie o politică pe care nu o puteți verifica.

Pasul 1: scrieți fluxul interior în cuvinte simple

Descrieți aplicația înainte de a tasta ceva. Un gazdă din interior care deschide SSH către un server din spatele gateway-ului îndepărtat este un singur flux TCP interior cu un port sursă anume. Acesta este fluxul pe care îl evaluează ACL-ul și filtrul VPN, deci acesta este fluxul pe care îl tastați.

Scrieți-l ca o propoziție și apoi traduceți-l câmp cu câmp:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Pasul 2: alegeți interfața de intrare și direcția

Intrarea este interfața pe care sosește pachetul, nu cea prin care pleacă. Pentru un gazdă LAN care inițiază, este interfața inside. Pentru pachetul de retur al aceleiași sesiuni, este interfața outside, iar tuplul se inversează. Scrierea destinației drept sursă este a doua cea mai obișnuită cale de a obține un ALLOW convingător, dar irelevant.

Porturile au și ele direcție. Portul serviciului aparține câmpului destinație la o cerere inițiată, iar portul efemer al clientului aparține câmpului sursă. Un model cu destinație TCP 500 descrie o aplicație TCP care ascultă pe 500; nu devine un test IKE doar pentru că numărul apare în comandă.

Pasul 3: citiți fazele în ordine

Fiecare fază din ieșire este o decizie cu un proprietar: căutarea rutei, ACL, NAT, apoi selecția VPN sau a tunelului. Citiți-le în ordinea tipărită și opriți-vă la prima fază care nu se potrivește cu proiectul.

NAT prinde mulți oameni. Dacă sursa tradusă cade în afara crypto ACL care selectează traficul pentru tunel, fluxul poate fi permis și niciodată încapsulat. Urmărirea tipărește adresa tradusă, așa că comparați-o cu traficul interesant al tunelului, nu cu adresa originală.

Pasul 4: verificați ce ocoliri ați selectat

Forma detailed acceptă opțiuni care sar peste verificări, iar Cisco documentează o opțiune bypass-checks care acoperă ACL, filtrul VPN, uRPF și verificările de spoofing IPsec. Un ALLOW obținut cu aceste ocoliri spune că ruta și NAT ar funcționa, nu că politica ar admite un pachet real. Notați opțiunile lângă rezultat.

Dacă aveți nevoie de răspunsul politicii, rulați fără ocoliri. Dacă izolați o întrebare de rutare, rulați cu ele și etichetați rezultatul ca răspuns de rutare.

Pasul 5: închideți diferența cu schimbul real

O permisiune simulată se oprește la ASA. Dacă gateway-ul îndepărtat a decriptat pachetul, dacă serverul a acceptat conexiunea și dacă a revenit un răspuns sunt observații separate. Folosiți contoare de punct final sau o captură îngustă pe o cale aprobată.

Unele opțiuni trace și replay transmit pachete sau păstrează starea. Urmați comportamentul documentat pentru versiunea dumneavoastră și procedura de diagnostic aprobată în loc să tratați fiecare variantă ca o căutare doar în citire.

Ce nu vă poate spune încă urmărirea

Păstrați patru lucruri într-o singură notă: tuplul, regula NAT potrivită, tunelul sau politica ce ar trebui să ducă fluxul și observația specifică direcției. Fără ele, un inginer ulterior nu poate separa o decizie locală de politică de un plan de control stabilit și de un serviciu funcțional. Un prim eșec urmat de un succes nu dovedește nici el că tunelul trebuia să urce între timp; notați faza și schimbarea stării.

Începeți cu tuplul interior, opriți-vă la prima fază care contrazice proiectul și abia apoi căutați dovezi de punct final. Urmărirea este un oracol de politică, nu o confirmare de livrare.