Kako modelirati VPN tok pomoću ASA packet-tracer

Packet-tracer na ASA odgovara na usko pitanje: bi li ovaj paket, koji ovdje ulazi s ovim tupleom, bio dopušten i kamo bi išao. Ne odgovara na to prima li udaljeni kraj išta. Uobičajena je greška unositi vanjski IKE tuple kad je ono što želite testirati aplikacija koja putuje unutar tunela. Prvo ispravite tuple, pročitajte faze, a zatim pribavite stvarne dokaze za sve što simulator ne može vidjeti.

Prikaz u nastavku pretpostavlja da su ACL, NAT pravilo i kontekst tunnel-group ispred vas. Bez njih izlaz opisuje pravilo koje ne možete provjeriti.

Korak 1: napišite unutarnji tok jednostavnim riječima

Opišite aplikaciju prije nego što bilo što upišete. Host s unutarnje strane koji otvara SSH prema poslužitelju iza udaljenog pristupnika jedan je unutarnji TCP tok s određenim izvorišnim portom. To je tok koji ocjenjuju ACL i VPN filtar, pa je to tok koji upisujete.

Napišite ga kao rečenicu, a zatim ga prevedite polje po polje:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Korak 2: odaberite ulazno sučelje i smjer

Ulaz je sučelje na koje paket dolazi, a ne ono kroz koje odlazi. Za LAN host koji započinje, to je sučelje inside. Za povratni paket iste sesije to je sučelje outside, a tuple se okreće. Upisivanje odredišta kao izvorišta drugi je najčešći način da zaradite uvjerljiv, ali nevažan ALLOW.

Portovi također imaju smjer. Port usluge pripada polju odredišta za započeti zahtjev, a klijentov efemerni port pripada polju izvorišta. Model s TCP odredištem 500 opisuje TCP aplikaciju koja sluša na 500; ne postaje IKE test zato što se broj pojavljuje u naredbi.

Korak 3: čitajte faze redom

Svaka faza u izlazu je odluka s vlasnikom: traženje rute, ACL, NAT, zatim odabir VPN-a ili tunela. Čitajte ih redom kojim su ispisane i zaustavite se na prvoj fazi koja se ne slaže s dizajnom.

NAT ljude često prevari. Ako prevedeno izvorište padne izvan crypto ACL-a koji odabire promet za tunel, tok može biti dopušten i nikada ne biti enkapsuliran. Trag ispisuje prevedenu adresu, pa je usporedite sa zanimljivim prometom tunela, a ne s izvornom adresom.

Korak 4: provjerite koja ste zaobilaženja odabrali

Oblik detailed prima opcije koje preskaču provjere, a Cisco dokumentira opciju bypass-checks koja pokriva ACL, VPN filtar, uRPF i IPsec provjere krivotvorenja. ALLOW dobiven uz njih kaže da bi ruta i NAT radili, a ne da bi pravilo primilo stvarni paket. Zapišite opcije uz rezultat.

Ako vam treba odgovor pravila, pokrenite bez zaobilaženja. Ako izolirate pitanje usmjeravanja, pokrenite s njima i označite rezultat kao odgovor o usmjeravanju.

Korak 5: zatvorite jaz stvarnom razmjenom

Simulirano dopuštenje staje na ASA. Je li udaljeni pristupnik dešifrirao paket, je li poslužitelj prihvatio vezu i je li se vratio odgovor, odvojena su opažanja. Upotrijebite brojače krajnjih točaka ili usko snimanje na odobrenom putu.

Neke opcije trace i replay prenose pakete ili čuvaju stanje. Slijedite dokumentirano ponašanje za svoje izdanje i odobreni dijagnostički postupak umjesto da svaku varijantu tretirate kao upit samo za čitanje.

Što vam trag još uvijek ne može reći

Držite četiri stvari u jednoj bilješci: tuple, podudarno NAT pravilo, tunel ili pravilo koje bi trebalo nositi tok i opažanje specifično za smjer. Bez njih kasniji inženjer ne može razlučiti lokalnu odluku o pravilu od uspostavljene kontrolne ravnine i od usluge koja radi. Prvi neuspjeh nakon kojeg slijedi uspjeh također nije dokaz da je tunel morao ustati između toga; zapišite fazu i promjenu stanja.

Počnite s unutarnjim tupleom, zaustavite se na prvoj fazi koja proturječi dizajnu i tek se tada dohvatite dokaza s krajnjih točaka. Trag je proročište pravila, a ne potvrda o dostavi.