Cisco ASA tunneled zadana ruta: kada se doista primjenjuje

Korisnik udaljenog pristupa ne može doći ni do čega iza ASA-e, dok isti poslužitelj odgovara na pingove iz unutarnjeg LAN-a. Tunel se podiže, klijent dobiva adresu iz poola, a paket ipak izlazi kroz internetsku zadanu rutu ili nestaje. Takav obrazac obično znači da dešifrirani promet nije pronašao vlastitu rutu i pao je na običnu zadanu rutu. Rješenje nije još jedno NAT pravilo; to je tunneled zadana ruta.

Pođite od simptoma, ne od konfiguracije

Gledajte kamo paket ide, a ne kamo ste očekivali da će ići. Snimka na vanjskom sučelju tijekom neuspješne sesije pokazuje dešifrirani paket kako ide prema ISP-ovom pristupniku s još netaknutom adresom iz poola ili ne pokazuje ništa jer je pretraga propala. U oba slučaja tunel nije problem.

Tunel izgleda zdravo u show vpn-sessiondb, i upravo zato ljudi stalno debugiraju IKE.

Od ACL odbacivanja ovo razlikuje smjer. ACL odbacivanje se bilježi i broji, dok nedostajuća ruta stvara neuspjeh pretrage bez odgovarajućeg zapisa. Pokrenite show route za klijentovo odredište i pročitajte što je ASA doista odabrao, uključujući je li odabrana zadana ruta i koja.

Kako se tunneled pretraga razlikuje

Ciscov vodič za statičko usmjeravanje na ASA-i 9.23 opisuje zasebnu zadanu rutu za dešifrirani VPN promet koji nema statičku ni naučenu rutu. Ključna riječ tunneled označava tu rutu, pa dešifrirani paket može pasti na drugi sljedeći skok od onoga koji ASA koristi za vlastiti transport. Specifičnije rute i dalje pobjeđuju, zato klijent može doći do 10.0.0.0/8 kroz unutarnji pristupnik i izgubiti sve ostalo.

Minimalni raspored drži dvije zadane rute s različitim sljedećim skokovima. Jedna nosi vlastiti promet ASA-e, druga nosi dešifrirani promet koji nema bolju rutu. Oba sljedeća skoka moraju biti dostupna sa sučelja na koje ih vežete.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Ako obje zadane rute pokazuju na isti sljedeći skok, ključna riječ ne mijenja ništa i simptom se neće pomaknuti.

Ograničenja koja odlučuju hoće li raditi

Isti vodič dopušta samo jednu tunneled zadanu rutu i navodi da ECMP za nju nije podržan, pa ne možete dijeliti opterećenje tim putem. Također navodi ograničenja koja uključuju praćenje ruta, provjeru obrnutog puta te neke tokove inspekcije i upravljanja. Pročitajte ih uz svoje instalirano izdanje prije nego što dizajnirate oko te značajke. Dizajn koji ih zanemari obično zakaže na jednom određenom mjestu, a ne svugdje, i zato simptom izgleda povremen.

Provjera obrnutog puta je ona koja grize u asimetričnim dizajnima. Ako bi odgovor stigao kroz drugo sučelje od onoga koje ASA očekuje, paket se odbacuje prije nego što usmjeravanje uopće postane važno. Popravite topologiju ili povratni put umjesto da isključite provjeru kako biste prisilili sljedeći skok.

Praćenje ruta je zasebna zamka: praćeni objekt obično čuva običnu zadanu rutu, a ne tunneled.

Što ključna riječ ne radi

Ne bira izvornu adresu koju ASA koristi za izgradnju IKE-a. Vanjska krajnja točka tunela slijedi vlastiti odabir sučelja i izvora platforme, a tunneled zadana ruta nema udjela u toj odluci. Njezina promjena neće popraviti phase 1 koji potječe s pogrešne adrese.

Ne pretvara sljedeći skok u proxy ni to. Ako odredište očekuje HTTP CONNECT razmjenu, slanje sirovih IP paketa proxy poslužitelju daje vam samo poslužitelj koji ih ne usmjerava. Umjesto toga konfigurirajte proxy mehanizam koji klijent podržava.

I ne stvara daljnje prosljeđivanje. Pristupnik na koji pokazujete i dalje treba rutu natrag prema VPN poolu, plus prevođenje izvora gdje dizajn to traži.

Provjerite put od početka do kraja

Nakon što je ruta na mjestu, provjerite četiri stvari po redu: show route za odredište koje pool treba, snimku na sučelju prema novom sljedećem skoku, snimku na samom pristupniku i povratni put od tog pristupnika do adrese iz poola. Prve dvije dokazuju da je ASA odabrao put, a posljednje dvije da netko na njemu odgovara.

Ako pristupnik odgovara, ali klijent nikad ne vidi odgovor, pogledajte prevođenje izvora i povratnu rutu prije nego što ponovno dirate tablicu usmjeravanja.

Zapišite izdanje na kojem ste provjerili, jer je popis ograničenja specifičan za verziju i dizajn koji radi na jednom vlaku može trebati drugi put na drugom. Ta bilješka nadživljava isječak konfiguracije.