Tunelovaná predvolená trasa na Cisco ASA: kedy sa naozaj uplatňuje

Používateľ vzdialeného prístupu sa nedostane nikam za ASA, hoci ten istý server odpovedá na pingy z internej LAN. Tunel sa zdvihne, klient dostane adresu z poolu, a packet predsa odchádza cez internetovú predvolenú trasu alebo zmizne. Tento vzor zvyčajne znamená, že dešifrovaná prevádzka nenašla vlastnú trasu a prepadla na bežnú predvolenú trasu. Oprava nie je ďalšie pravidlo NAT; opravou je tunelovaná predvolená trasa.

Začnite príznakom, nie konfiguráciou

Sledujte, kam packet ide, a nie kam ste čakali, že pôjde. Zachytenie na vonkajšom rozhraní počas neúspešnej relácie ukazuje dešifrovaný packet smerujúci k bráne ISP s ešte neporušenou adresou z poolu, alebo neukazuje nič, pretože vyhľadávanie zlyhalo. V oboch prípadoch tunel nie je problém.

Tunel vyzerá zdravo v show vpn-sessiondb, a práve preto ľudia stále ladia IKE.

Od zahodenia cez ACL to odlišuje smer. Zahodenie cez ACL sa loguje a počíta, kým chýbajúca trasa spôsobí zlyhanie vyhľadávania bez zodpovedajúceho záznamu. Spustite show route pre cieľ klienta a prečítajte si, čo ASA skutočne vybrala, vrátane toho, či bola zvolená predvolená trasa a ktorá.

Čím sa tunelované vyhľadávanie líši

Príručka Cisco pre statické smerovanie na ASA 9.23 dokumentuje samostatnú predvolenú trasu pre dešifrovanú VPN prevádzku, ktorá nemá statickú ani naučenú trasu. Kľúčové slovo tunneled označuje túto trasu, takže dešifrovaný packet môže prepadnúť na iný nasledujúci hop, než aký ASA používa pre vlastný transport. Konkrétnejšie trasy stále vyhrávajú, a preto sa klient môže dostať cez internú bránu na 10.0.0.0/8 a stratiť všetko ostatné.

Minimálne usporiadanie udržiava dve predvolené trasy s rôznymi nasledujúcimi hopmi. Jedna nesie vlastnú prevádzku ASA, druhá nesie dešifrovanú prevádzku, ktorá nemá lepšiu trasu. Oba nasledujúce hopy musia byť stále dosiahnuteľné z rozhrania, ku ktorému ich pripájate.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Ak obe predvolené trasy ukazujú na ten istý nasledujúci hop, kľúčové slovo nič nemení a príznak sa nepohne.

Obmedzenia, ktoré rozhodujú, či to bude fungovať

Tá istá príručka povoľuje len jednu tunelovanú predvolenú trasu a uvádza, že ECMP pre ňu nie je podporovaný, takže po tejto ceste nemôžete rozkladať záťaž. Uvádza tiež obmedzenia týkajúce sa sledovania trás, overovania spätnej cesty a niektorých tokov kontroly a správy. Prečítajte si ich vo vzťahu k nainštalovanému vydaniu, skôr než budete okolo tejto funkcie navrhovať. Návrh, ktorý ich ignoruje, zvyčajne zlyhá na jednom konkrétnom mieste, nie všade, a preto sa príznak javí ako prerušovaný.

Overovanie spätnej cesty je to, čo hryzie v asymetrických návrhoch. Ak by odpoveď prichádzala iným rozhraním, než aké ASA očakáva, packet sa zahodí skôr, než smerovanie vôbec začne mať význam. Opravte topológiu alebo spätnú cestu namiesto vypnutia overovania, aby ste vynútili nasledujúci hop.

Sledovanie trás je samostatná pasca: sledovaný objekt zvyčajne stráži bežnú predvolenú trasu, nie tú tunelovanú.

Čo kľúčové slovo nerobí

Nevyberá zdrojovú adresu, ktorú ASA používa na zostavenie IKE. Vonkajší koncový bod tunela sa riadi vlastným výberom rozhrania a zdroja platformy a tunelovaná predvolená trasa na tomto rozhodnutí nemá podiel. Zmena tejto trasy neopraví phase 1, ktorý vychádza z nesprávnej adresy.

Nepremení ani nasledujúci hop na proxy. Ak cieľ očakáva výmenu HTTP CONNECT, odosielanie surových IP packetov na proxy host vám dá len host, ktorý ich nesmeruje. Namiesto toho nastavte proxy mechanizmus, ktorý klient podporuje.

A nevytvára ďalšie preposielanie. Brána, na ktorú ukazujete, stále potrebuje trasu späť do VPN poolu, plus preklad zdroja tam, kde to návrh vyžaduje.

Overte cestu od začiatku do konca

Keď je trasa na mieste, postupne skontrolujte štyri veci: show route pre cieľ, ktorý pool potrebuje, zachytenie na rozhraní smerom k novému nasledujúcemu hopu, zachytenie na samotnej bráne a spätnú cestu z tejto brány na adresu z poolu. Prvé dve dokazujú, že ASA tú cestu vybrala, a posledné dve, že na nej niekto odpovedá.

Ak brána odpovedá, ale klient nikdy nevidí odpoveď, pozrite sa na preklad zdroja a spätnú trasu, skôr než znova siahnete na smerovaciu tabuľku.

Zapíšte si vydanie, na ktorom ste overovali, pretože zoznam obmedzení je špecifický pre verziu a návrh, ktorý funguje na jednej vetve, môže na inej potrebovať inú cestu. Táto poznámka prežije úryvok konfigurácie.