Cisco ASA ටනල්ඩ් පෙරනිමි මාර්ගය: එය සැබවින්ම ක්‍රියාත්මක වන්නේ කවදාද

දුරස්ථ ප්‍රවේශ පරිශීලකයෙකුට ASA ඉක්මවා කිසිවකට ළඟා විය නොහැකි නමුත්, එම සේවාදායකයම අභ්‍යන්තර LAN සිට පිංගවලට පිළිතුරු දෙයි. ටනලය ඉහළ එයි, සේවාලාභියා pool එකෙන් ලිපිනයක් ලබයි, නමුත් පැකට්ටුව තවමත් අන්තර්ජාල පෙරනිමියෙන් පිටවෙයි හෝ අතුරුදහන් වෙයි. මෙම රටාව සාමාන්‍යයෙන් අදහස් වන්නේ විග්‍රහගත රථවාහනයට තමන්ගේම මාර්ගයක් හමු නොවූ බවත් එය සාමාන්‍ය පෙරනිමියට වැටුණු බවත් ය. විසඳුම තවත් NAT නියමයක් නොවේ; විසඳුම ටනල්ඩ් පෙරනිමියයි.

කොන්ෆිගරේෂනයෙන් නොව, රෝග ලක්ෂණයෙන් පටන් ගන්න

පැකට්ටුව යන්නේ කොහෙදැයි බලන්න, ඔබ එය යනු ඇතැයි බලාපොරොත්තු වූ තැන නොව. අසාර්ථක සැසියක දී පිටත අතුරුමුහුණතේ ගන්නා ලද කැප්චරයක් පෙන්වන්නේ විග්‍රහගත පැකට්ටුව pool ලිපිනය තවමත් නොවෙනස්ව ISP ගේට්වේ දෙසට යන බවයි, නැතහොත් සෙවීම අසාර්ථක වූ නිසා කිසිවක් නොපෙන්වයි. දෙකම අවස්ථාවලදී ටනලය ගැටලුව නොවේ.

show vpn-sessiondb තුළ ටනලය නිරෝගී ලෙස පෙනෙයි, ඒ නිසාම මිනිසුන් IKE ඩීබග් කරමින් සිටී.

ACL බැහැර කිරීමකින් මෙය වෙන් කරන්නේ දිශාවයි. ACL බැහැර කිරීමක් ලොග් වී ගණන් කෙරේ, නමුත් නොමැති මාර්ගයක් ගැළපෙන සටහනක් නොමැතිව සෙවුම් අසාර්ථකත්වයක් ඇති කරයි. සේවාලාභියාගේ ගමනාන්තය සඳහා show route ධාවනය කර ASA සැබවින්ම තෝරාගත් දේ කියවන්න, පෙරනිමියක් තෝරාගෙන තිබේද සහ කුමක්ද යන්නද ඇතුළුව.

ටනල්ඩ් සෙවීම වෙනස් වන්නේ කෙසේද

Cisco හි ASA 9.23 ස්ථිතික-රවුටින් මාර්ගෝපදේශයේ ස්ථිතික හෝ ඉගෙනුම් ලද මාර්ගයක් නොමැති විග්‍රහගත VPN රථවාහනය සඳහා වෙනම පෙරනිමියක් ලේඛනගත කර ඇත. tunneled යතුරු පදය එම මාර්ගය සලකුණු කරයි, එබැවින් විග්‍රහගත පැකට්ටුවකට ASA තමන්ගේම ප්‍රවාහනය සඳහා භාවිතා කරන ඊළඟ හොප් එකට වඩා වෙනස් එකකට වැටිය හැක. වඩාත් නිශ්චිත මාර්ග තවමත් ජයගනියි, එබැවින් සේවාලාභියෙකුට අභ්‍යන්තර ගේට්වේ හරහා 10.0.0.0/8 වෙත ළඟා වී අනෙක් සියල්ල අහිමි කරගත හැක.

අවම සැලැස්ම වෙනස් ඊළඟ හොප් සහිත පෙරනිමි දෙකක් රඳවා ගනී. එකක් ASA හි තමන්ගේම රථවාහනය ගෙන යයි, අනෙක වඩා හොඳ මාර්ගයක් නොමැති විග්‍රහගත රථවාහනය ගෙන යයි. ඔබ ඒවා සම්බන්ධ කරන අතුරුමුහුණතින් ඊළඟ හොප් දෙකම තවමත් ළඟා විය හැකි විය යුතුය.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

පෙරනිමි දෙකම එකම ඊළඟ හොප් වෙත යොමු වන්නේ නම්, යතුරු පදය කිසිවක් වෙනස් නොකරන අතර රෝග ලක්ෂණයද නොසෙල්වෙනු ඇත.

එය ක්‍රියාත්මක වේද නැද්ද යන්න තීරණය කරන ප්‍රතිබාහන

එම මාර්ගෝපදේශය එක් ටනල්ඩ් පෙරනිමියකට පමණක් අවසර දෙන අතර ඒ සඳහා ECMP අනුග්‍රහය නොදක්වන බව පවසයි, එබැවින් එම මාර්ගයේ භාරය බෙදිය නොහැක. එය මාර්ග නිරීක්ෂණය, ප්‍රතිලෝම මාර්ග සත්‍යාපනය සහ සමහර පරීක්ෂණ හා කළමනාකරණ ගැලීම් සම්බන්ධ ප්‍රතිබාහනද ලැයිස්තුගත කරයි. විශේෂාංගය වටා නිර්මාණය කිරීමට පෙර ඒවා ඔබ ස්ථාපනය කළ නිකුතුවට එරෙහිව කියවන්න. ඒවා නොසලකා හරින නිර්මාණයක් සාමාන්‍යයෙන් සෑම තැනකම නොව එක් නිශ්චිත තැනක අසාර්ථක වේ, එබැවින් රෝග ලක්ෂණය විටින් විට එන ලෙස පෙනේ.

අසමමිතික නිර්මාණවල දී හපන්නේ ප්‍රතිලෝම මාර්ග සත්‍යාපනයයි. පිළිතුර ASA බලාපොරොත්තු වන අතුරුමුහුණතට වඩා වෙනස් අතුරුමුහුණතකින් පැමිණේ නම්, රවුටිං වැදගත් වීමටත් පෙර පැකට්ටුව ඉවත දමයි. සත්‍යාපනය ක්‍රියා විරහිත කර ඊළඟ හොප් එකක් බලකිරීම වෙනුවට ටොපොලොජිය හෝ ආපසු මාර්ගය නිවැරදි කරන්න.

මාර්ග නිරීක්ෂණය වෙනම උගුලකි: නිරීක්ෂණය කරන වස්තුව සාමාන්‍යයෙන් ආරක්ෂා කරන්නේ සාමාන්‍ය පෙරනිමියයි, ටනල්ඩ් එක නොවේ.

යතුරු පදය කුමක් නොකරයිද

එය ASA IKE ගොඩනැගීමට භාවිතා කරන මූලාශ්‍ර ලිපිනය තෝරන්නේ නැත. පිටත ටනල් අන්ත ලක්ෂ්‍යය වේදිකාවේම අතුරුමුහුණත හා මූලාශ්‍ර තේරීම අනුගමනය කරයි, එම තීරණයේ ටනල්ඩ් පෙරනිමියට කිසිදු කොටසක් නැත. එය වෙනස් කිරීම වැරදි ලිපිනයකින් ආරම්භ වන phase 1 සුවපත් නොකරනු ඇත.

එය ඊළඟ හොප් එක ප්‍රොක්සියක් බවටද පත් නොකරයි. ගමනාන්තය HTTP CONNECT හුවමාරුවක් බලාපොරොත්තු වන්නේ නම්, ප්‍රොක්සි සත්කාරකයට අමු IP පැකට්ටු යැවීමෙන් ඔබට ලැබෙන්නේ ඒවා රවුට් නොකරන සත්කාරකයක් පමණි. ඒ වෙනුවට සේවාලාභියා අනුග්‍රහය දෙන ප්‍රොක්සි ක්‍රමය වින්‍යාස කරන්න.

තවද එය පහළට යැවීමක් නිර්මාණය නොකරයි. ඔබ යොමු වන ගේට්වේට තවමත් VPN pool වෙත ආපසු මාර්ගයක් අවශ්‍ය වන අතර, නිර්මාණය ඉල්ලන තැන මූලාශ්‍ර පරිවර්තනයද අවශ්‍ය වේ.

මාර්ගය මුල සිට අග දක්වා සත්‍යාපනය කරන්න

මාර්ගය ස්ථාපිත වූ පසු කරුණු හතරක් පිළිවෙලට පරීක්ෂා කරන්න: pool එකට අවශ්‍ය ගමනාන්තයක් සඳහා show route, නව ඊළඟ හොප් දෙසට අතුරුමුහුණතේ කැප්චරයක්, ගේට්වේ මතම කැප්චරයක්, සහ එම ගේට්වේ සිට pool ලිපිනයට ආපසු මාර්ගය. පළමු දෙක ASA එම මාර්ගය තෝරාගත් බව ඔප්පු කරයි, අවසන් දෙක එහි යමෙකු පිළිතුරු දෙන බව ඔප්පු කරයි.

ගේට්වේ පිළිතුරු දෙන නමුත් සේවාලාභියාට කිසිදා පිළිතුරක් නොපෙනේ නම්, රවුටිං වගුවට නැවත අත තැබීමට පෙර මූලාශ්‍ර පරිවර්තනය සහ ආපසු මාර්ගය බලන්න.

ඔබ සත්‍යාපනය කළ නිකුතුව සටහන් කරන්න, මන්ද ප්‍රතිබාහන ලැයිස්තුව අනුවාදය අනුව වෙනස් වන අතර එක් දුම්රියක ක්‍රියා කරන නිර්මාණයකට තවත් එකක වෙනස් මාර්ගයක් අවශ්‍ය විය හැක. එම සටහන වින්‍යාස කැබැල්ලට වඩා දිගු කල් පවතී.