Cisco ASA do Azure VPN: páry prefixov selektora prevádzky

Tunel sa zdvihne, IKE vyzerá zdravo a nič cez neho neprechádza. To je obvyklá podoba problému selektora ASA–Azure, a preto píšem kontrakt predtým, než sa dotknem ktorejkoľvek konzoly. Kontrakt sú štyri veci: objekty, ktoré identifikujú každého peera, model pripojenia, presné páry prefixov a overenie, ktoré dokazuje každý pár. Pomýlite sa tu a každý ďalší príkaz bude ladiť konfiguráciu, ktorú ste nemali postaviť. Tento runbook je poradie, ktoré používam, spolu s príkazmi, ktoré ukazujú, ktorý objekt je skutočne nesprávny.

Pred konfiguráciou si zapíšte štyri objekty

Začnite vydaním a platformou ASA, verejným endpointom, typom a SKU brány Azure VPN a lokálnou sieťovou bránou, ktorá predstavuje vašu stranu. Tieto štyri názvy sú slovník pre všetko, čo nasleduje, a každý má iného vlastníka, keď sa niečo pokazí.

Ak sú dva z nich stále dohady, zastavte sa. Nesprávny zoznam prefixov na lokálnej sieťovej bráne nie je problém ladenia.

Vyberte jeden model pripojenia a prestaňte miešať šablóny

Návrh s crypto map a návrh s tunnel interface sú rôzne konfigurácie a šablóna jedného sa nestane platnou pre druhý zmenou adresy peera. Zapíšte si, ktorý staviate, skôr než niečo prilepíte, pretože nezhoda sa neskôr prejaví ako problém selektora, nie ako chyba konfigurácie. Príručka interoperabilit ASA od Microsoftu pokrýva oba vzory a uvádza, ktorý model brány Azure každý predpokladá. Ak vaše poznámky model neuvádzajú, ešte nemáte návrh.

Brána Azure založená na trasách so selektormi prevádzky založenými na politikách je konkrétna dokumentovaná možnosť, nie predvolená. Ak váš návrh závisí od nej, návrh to musí povedať, pretože predvolený model selektora založeného na trasách sa na strane Azure správa inak.

Obmedzenia verzií patria tiež do kontraktu. Stará správa z terénu o limite domén šifrovania je údaj o konkrétnych vydaniach, nie trvalá vlastnosť každého ASA.

Vymenujte páry prefixov, nie agregáty

Napíšte maticu. Z lokálnych A a B do Azure X a Y sú štyri páry a každý potrebuje pokrytie alebo výslovné vylúčenie. Spojenie A a B do jedného agregátu zahŕňa aj všetko, čo je medzi nimi, a tak návrh potichu rastie dieru.

Skontrolujte, na čom sa peery dohodli, nie čo ste uložili. Zoznam lokálnych a vzdialených sietí na ASA je zámer; CHILD SA sú výsledok.

Keď pár chýba, oprava je zvyčajne riadok access-list alebo položka selektora, nie nový tunel.

Overujte príkazmi, ktoré pomenúvajú objekt

Na ASA potvrďte reláciu IKE, potom SA IPsec, potom páry selektora. Každý príkaz odpovedá na inú otázku a spustenie iba prvého je spôsob, ako sa „tunel je hore“ stane falošným záverom. Čítajte výstup pre peera, ktorého ste skutočne nakonfigurovali, nie pre SA, ktorý je náhodou prvý v zozname. Strana Azure odpovedá na tie isté tri otázky zo svojho pohľadu.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Potom sa opýtajte Azure na stav pripojenia cez az network vpn-connection show --name <connection> --query connectionStatus. Pripojené s nulou bajtov v dátovej ceste je problém selektora, nie smerovania.

Otestujte jeden povolený tok na pár, skontrolujte zdrojovú adresu viditeľnú na druhej strane a vyskúšajte jeden zdroj, ktorý by mal byť odmietnutý. Len ten posledný test dokazuje, že hranica stále existuje.

Rozsah šifrovania držte oddelene od povolenia prístupu

Široký selektor nie je povolenie. Ak je podporované usporiadanie širšie než politika aplikácie, držte úzke služby v pravidlách firewallu a rozsah šifrovania nechajte tam, kde musí byť.

Trasy pracovných zaťažení Azure a lokálne návratové trasy sa posudzujú oddelene. Ohlásenia BGP, statický rozsah siete a používateľom definované trasy musia opisovať tú istú cestu a žiadna z nich nesmie rekurzívne zachytiť transport peera.

Návrat a dôkaz, že fungoval

Pred zmenou selektorov si uložte predchádzajúcu bežiacu konfiguráciu a poznajte jediný príkaz, ktorý ju vráti. Na ASA to znamená uloženú kópiu a zodpovedajúcu cestu obnovy, nie spomienku na to, čo ste upravili. Napíšte príkaz obnovy do tiketu zmeny, kým je zmena ešte hypotetická. Potom znova spustite tie isté tri kontroly: stav IKE, páry SA IPsec, jeden povolený tok na pár.

Ak pár po obnove stále zlyháva, zmena nebola príčinou, a práve ste si ušetrili druhý výpadok.