Cisco ASA සිට Azure VPN දක්වා: ට්‍රැෆික් තේරීම්කරු ප්‍රිෆික්ස් යුගල

උමග ඉහළ එයි, IKE සෞඛ්‍ය සම්පන්න ලෙස පෙනේ, නමුත් එය හරහා කිසිවක් ගමන් නොකරයි. මෙය ASA සිට Azure දක්වා තේරීම්කරු ගැටලුවේ සුලභ ස්වරූපයයි, එබැවින් මම කිසිදු කොන්සෝලයක් ස්පර්ශ කිරීමට පෙර ගිවිසුම ලියමි. ගිවිසුම කරුණු හතරකි: එක් එක් සහකරුවා හඳුනාගන්නා වස්තු, සම්බන්ධතා ආකෘතිය, නිශ්චිත ප්‍රිෆික්ස් යුගල සහ එක් එක් යුගලය සනාථ කරන සත්‍යාපනය. මේවා වැරදි කළොත්, පසුව එන සෑම විධානයක්ම ඔබ නිර්මාණය නොකළ යුතු වින්‍යාසයක් නිදොස් කරනු ඇත. මෙම රන්බුක් යනු මම භාවිතා කරන අනුපිළිවෙලයි, කුමන වස්තුව ඇත්තටම වැරදිද යන්න පෙන්වන විධාන සමඟ.

වින්‍යාස කිරීමට පෙර වස්තු හතර ලියන්න

ASA නිකුතුව සහ වේදිකාව, පොදු අන්ත ලක්ෂ්‍යය, Azure VPN ගේට්ටු වර්ගය සහ SKU, සහ ඔබේ පැත්ත නියෝජනය කරන දේශීය ජාල ගේට්ටුවෙන් ආරම්භ කරන්න. එම නම් හතර පසුව එන සියල්ලටම වචන මාලාවයි, සහ යමක් කැඩුණු විට එක් එක් අයට වෙනස් වගකිවයුතු අයෙක් සිටී.

ඒවායින් දෙකක් තවම අනුමාන නම්, නවතින්න. දේශීය ජාල ගේට්ටුවේ වැරදි ප්‍රිෆික්ස් ලැයිස්තුවක් යනු ටියුනින් ගැටලුවක් නොවේ.

එක් සම්බන්ධතා ආකෘතියක් තෝරන්න සහ අච්චු මිශ්‍ර කිරීම නවත්වන්න

crypto map නිර්මාණය සහ tunnel interface නිර්මාණය වෙනස් වින්‍යාසයන් වන අතර, එකක අච්චුව සහකරු ලිපිනය සංස්කරණය කිරීමෙන් අනෙකට වලංගු නොවේ. යමක් අලවීමට පෙර ඔබ ගොඩනඟන්නේ කුමක්දැයි සටහන් කරන්න, මන්ද නොගැළපීම පසුව වින්‍යාස දෝෂයක් ලෙස නොව තේරීම්කරු ගැටලුවක් ලෙස දිස්වේ. Microsoft හි ASA අන්තර්ක්‍රියාකාරීත්ව මාර්ගෝපදේශය රටා දෙකම ආවරණය කරන අතර එක් එක් එක Azure ගේට්ටු ආකෘතියක් උපකල්පනය කරන්නේද යන්න පවසයි. ඔබේ සටහන් ආකෘතිය නම් නොකරන්නේ නම්, ඔබට තවම නිර්මාණයක් නැත.

ප්‍රතිපත්ති පාදක ට්‍රැෆික් තේරීම්කරුවන් සහිත මාර්ග පාදක Azure ගේට්ටුවක් යනු නිශ්චිත ලේඛනගත විකල්පයක් මිස පෙරනිමිය නොවේ. ඔබේ නිර්මාණය එය මත රඳා පවතී නම්, නිර්මාණය එය පැවසිය යුතුය, මන්ද පෙරනිමි මාර්ග පාදක තේරීම්කරු ආකෘතිය Azure පැත්තේ වෙනස් ලෙස හැසිරේ.

අනුවාද සීමා ද ගිවිසුමට අයත් වේ. සංකේතන වසම් සීමාවක් ගැන පැරණි ක්ෂේත්‍ර වාර්තාවක් යනු නිශ්චිත නිකුතු ගැන දත්ත ලක්ෂ්‍යයක් මිස සෑම ASA ක් ගේ ස්ථිර ගුණාංගයක් නොවේ.

සමස්ත නොව ප්‍රිෆික්ස් යුගල ගණන් කරන්න

න්‍යාසය ලියන්න. දේශීය A සහ B සිට Azure X සහ Y දක්වා යුගල හතරකි, සහ එක් එක් යුගලයට ආවරණයක් හෝ පැහැදිලි බැහැර කිරීමක් අවශ්‍යයි. A සහ B එක සමස්තයකට එකතු කිරීම ඒවා අතර ඇති සියල්ලද ඇතුළත් කරයි, එලෙසින් නිර්මාණය නිහඬව සිදුරක් වර්ධනය කරයි.

ඔබ සුරැකි දේ නොව සහකරුවන් සාකච්ඡා කළ දේ පරීක්ෂා කරන්න. ASA හි දේශීය සහ දුරස්ථ ජාල ලැයිස්තුව අභිප්‍රායයි; CHILD SA යනු ප්‍රතිඵලයයි.

යුගලයක් නැති විට, නිවැරදි කිරීම සාමාන්‍යයෙන් access-list පේළියක් හෝ තේරීම්කරු සටහනක් මිස නව උමගක් නොවේ.

වස්තුව නම් කරන විධාන සමඟ සත්‍යාපනය කරන්න

ASA හි IKE සැසිය, පසුව IPsec SA, පසුව තේරීම්කරු යුගල තහවුරු කරන්න. සෑම විධානයක්ම වෙනස් ප්‍රශ්නයකට පිළිතුරු දෙයි, සහ පළමු එක පමණක් ධාවනය කිරීම «උමග ඉහළ ඇත» යන්න අසත්‍ය නිගමනයක් බවට පත් කරයි. ලැයිස්තුවේ පළමුව එන SA නොව ඔබ ඇත්තටම වින්‍යාස කළ සහකරු සඳහා ප්‍රතිදානය කියවන්න. Azure පැත්තද එම ප්‍රශ්න තුනට තම දෘෂ්ටිකෝණයෙන් පිළිතුරු දෙයි.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

පසුව az network vpn-connection show --name <connection> --query connectionStatus සමඟ Azure ගෙන් සම්බන්ධතා තත්ත්වය අසන්න. දත්ත මාර්ගයේ ශුන්‍ය බයිට් සමඟ «සම්බන්ධයි» යන්න මාර්ගගත කිරීමේ ගැටලුවක් නොව තේරීම්කරු ගැටලුවකි.

එක් එක් යුගලයට අවසර ලත් එක් ප්‍රවාහයක් පරීක්ෂා කරන්න, අනෙක් පැත්තේ පෙනෙන මූලාශ්‍ර ලිපිනය පරීක්ෂා කරන්න, සහ ප්‍රතික්ෂේප කළ යුතු එක් සම්පත් කිහිපයක් උත්සාහ කරන්න. එම අවසාන පරීක්ෂණය පමණක් සීමාව තවම පවතින බව සනාථ කරයි.

සංකේතන විෂය පථය ප්‍රවේශ අවසරයෙන් වෙන් කර තබන්න

පුළුල් තේරීම්කරුවක් යනු අවසරයක් නොවේ. ආධාරක පිරිසැලසුම යෙදුම් ප්‍රතිපත්තියට වඩා පුළුල් නම්, පටු සේවා firewall නීතිවල තබා සංකේතන විෂය පථය තිබිය යුතු තැන තබන්න.

Azure කාර්ය භාර මාර්ග සහ දේශීය ආපසු මාර්ග වෙන වෙනම සමාලෝචනය කෙරේ. BGP නිවේදන, ස්ථිතික ජාල විෂය පථය සහ පරිශීලක-නිර්වචිත මාර්ග සියල්ලම එකම මාර්ගය විස්තර කළ යුතු අතර, ඒවායින් කිසිවකට සහකරු ප්‍රවාහනය පුනරාවර්තන ලෙස අල්ලා ගත නොහැක.

ආපසු හැරවීම සහ එය සාර්ථක වූ බවට සාක්ෂිය

තේරීම්කරු වෙනස් කිරීමට පෙර පෙර ධාවන වින්‍යාසය තබා ගන්න, සහ එය ආපසු ගෙන එන එක් විධානයක් දැනගන්න. ASA හි එයින් අදහස් වන්නේ සුරැකි පිටපතක් සහ ගැළපෙන ප්‍රතිසාධන මාර්ගයක් මිස ඔබ සංස්කරණය කළ දේ පිළිබඳ මතකයක් නොවේ. වෙනස තවම උපකල්පිතව තිබියදී ප්‍රතිසාධන විධානය වෙනස්කම් ටිකට්පතේ ලියන්න. පසුව එම පරීක්ෂණ තුනම නැවත ධාවනය කරන්න: IKE තත්ත්වය, IPsec SA යුගල, එක් එක් යුගලයට අවසර ලත් එක් ප්‍රවාහයක්.

ප්‍රතිසාධනයෙන් පසුවත් යුගලය අසාර්ථක නම්, වෙනස හේතුව නොවීය, සහ ඔබ දෙවන බාධාවෙන් ගැලවුණා.