Cisco ASA prema Azure VPN: parovi prefiksa selektora saobraćaja

Tunel se diže, IKE izgleda zdravo, a ništa kroz njega ne prolazi. To je uobičajen oblik problema selektora od ASA do Azure, i zato pišem ugovor prije nego što dotaknem bilo koju konzolu. Ugovor su četiri stvari: objekti koji identifikuju svakog peera, model veze, tačni parovi prefiksa i verifikacija koja dokazuje svaki par. Pogriješite ovdje i svaka naredna komanda će debagovati konfiguraciju koju niste trebali graditi. Ovaj runbook je redoslijed koji koristim, s komandama koje pokazuju koji je objekat zaista pogrešan.

Zapišite četiri objekta prije konfiguracije

Počnite s izdanjem i platformom ASA, javnim endpointom, tipom i SKU-om Azure VPN gatewaya i lokalnim mrežnim gatewayom koji predstavlja vašu stranu. Ta četiri imena su rječnik za sve što slijedi, i svako ima drugog vlasnika kad se nešto pokvari.

Ako su dva od njih još pretpostavke, stanite. Pogrešna lista prefiksa na lokalnom mrežnom gatewayu nije problem podešavanja.

Odaberite jedan model veze i prestanite miješati šablone

Dizajn s crypto map i dizajn s tunnel interface su različite konfiguracije, i šablon jednog ne postaje važeći za drugi promjenom adrese peera. Zapišite koji gradite prije nego što bilo šta zalijepite, jer se neusklađenost kasnije pojavljuje kao problem selektora, a ne kao greška u konfiguraciji. Microsoftov vodič za interoperabilnost ASA pokriva oba obrasca i navodi koji model Azure gatewaya svaki pretpostavlja. Ako vaše bilješke ne imenuju model, još nemate dizajn.

Azure gateway zasnovan na rutama sa selektorima saobraćaja zasnovanim na politikama je konkretna dokumentovana opcija, a ne zadana. Ako vaš dizajn zavisi od nje, dizajn to mora reći, jer se zadani model selektora zasnovanog na rutama ponaša drugačije na strani Azure.

Ograničenja verzija takođe pripadaju ugovoru. Stari terenski izvještaj o ograničenju domena šifrovanja je podatak o određenim izdanjima, a ne trajno svojstvo svakog ASA.

Navedite parove prefiksa, a ne agregate

Napišite matricu. Od lokalnih A i B do Azure X i Y su četiri para, i svaki treba pokrivenost ili eksplicitno izuzimanje. Spajanje A i B u jedan agregat uključuje i sve što je između njih, i tako dizajn tiho raste rupu.

Provjerite šta su peeri pregovarali, a ne šta ste sačuvali. Lista lokalnih i udaljenih mreža na ASA je namjera; CHILD SA su rezultat.

Kad par nedostaje, ispravka je obično linija access-list ili unos selektora, a ne novi tunel.

Provjerite komandama koje imenuju objekat

Na ASA potvrdite IKE sesiju, zatim IPsec SA, zatim parove selektora. Svaka komanda odgovara na drugo pitanje, a pokretanje samo prve je način na koji „tunel je podignut“ postaje lažni zaključak. Čitajte izlaz za peera koji ste zaista konfigurisali, a ne za SA koji je slučajno prvi na listi. Strana Azure odgovara na ista tri pitanja iz svog ugla.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Zatim pitajte Azure o stanju veze pomoću az network vpn-connection show --name <connection> --query connectionStatus. Povezano s nula bajtova u podatkovnoj putanji je problem selektora, a ne rutiranja.

Testirajte jedan dozvoljeni tok po paru, pregledajte izvornu adresu vidljivu na drugoj strani i pokušajte jedan resurs koji bi trebalo odbiti. Samo taj posljednji test dokazuje da granica još postoji.

Držite obim šifrovanja odvojeno od dozvole pristupa

Širok selektor nije dozvola. Ako je podržani raspored širi od politike aplikacije, držite uske servise u firewall pravilima i ostavite obim šifrovanja gdje mora biti.

Rute radnih opterećenja Azure i lokalne povratne rute pregledaju se odvojeno. BGP najave, statički obim mreže i korisnički definirane rute moraju opisivati istu putanju, i nijedna od njih ne smije rekurzivno zahvatiti transport peera.

Vraćanje i dokaz da je uspjelo

Sačuvajte prethodnu radnu konfiguraciju prije promjene selektora i znajte jednu komandu koja je vraća. Na ASA to znači sačuvanu kopiju i odgovarajuću putanju vraćanja, a ne sjećanje na ono što ste uredili. Upišite komandu vraćanja u tiket promjene dok je promjena još hipotetička. Zatim ponovo pokrenite iste tri provjere: IKE stanje, parovi IPsec SA, jedan dozvoljeni tok po paru.

Ako par i dalje ne uspijeva nakon vraćanja, promjena nije bila uzrok, i upravo ste sebi uštedjeli drugi prekid.