Cisco ASA v Azure VPN: pari predpon selektorja prometa

Predor se dvigne, IKE je videti zdrav, skozenj pa ne gre nič. To je običajna oblika težave s selektorjem ASA–Azure, zato pogodbo napišem, preden se dotaknem katere koli konzole. Pogodba so štiri stvari: predmeti, ki prepoznajo vsakega peera, model povezave, natančni pari predpon in preverjanje, ki dokaže vsak par. Tu se zmotite in vsak naslednji ukaz bo razhroščeval konfiguracijo, ki je ne bi smeli zgraditi. Ta runbook je vrstni red, ki ga uporabljam, skupaj z ukazi, ki pokažejo, kateri predmet je v resnici napačen.

Pred konfiguriranjem zapišite štiri predmete

Začnite z izdajo in platformo ASA, javno končno točko, tipom in SKU-jem prehoda Azure VPN ter lokalnim omrežnim prehodom, ki predstavlja vašo stran. Ta štiri imena so besednjak za vse, kar sledi, in vsako ima drugega lastnika, ko se kaj pokvari.

Če sta dve od njih še vedno ugibanji, se ustavite. Napačen seznam predpon na lokalnem omrežnem prehodu ni težava z nastavitvami.

Izberite en model povezave in prenehajte mešati predloge

Zasnova s crypto map in zasnova s tunnel interface sta različni konfiguraciji in predloga ene ne postane veljavna za drugo s spreminjanjem naslova peera. Zapišite, katero gradite, preden kar koli prilepite, ker se neskladje pozneje pokaže kot težava s selektorjem in ne kot konfiguracijska napaka. Vodnik za interoperabilnost ASA podjetja Microsoft pokriva oba vzorca in navaja, kateri model prehoda Azure vsak predpostavlja. Če vaše opombe ne navajajo modela, še nimate zasnove.

Prehod Azure, ki temelji na usmerjanju, s selektorji prometa, ki temeljijo na pravilnikih, je posebna dokumentirana možnost, ne privzeta. Če je vaša zasnova odvisna od nje, mora zasnova to povedati, ker se privzeti model selektorja, ki temelji na usmerjanju, na strani Azure obnaša drugače.

Omejitve različic spadajo v pogodbo. Staro poročilo s terena o omejitvi šifrirnih domen je podatek o določenih izdajah, ne trajna lastnost vsakega ASA.

Naštejte pare predpon, ne agregatov

Napišite matriko. Od lokalnih A in B do Azure X in Y so štirje pari in vsak potrebuje pokritost ali izrecno izključitev. Združitev A in B v en agregat vključuje tudi vse, kar je med njima, in tako zasnova tiho pridobi luknjo.

Preverite, o čem so se peeri dogovorili, ne kaj ste shranili. Seznam lokalnih in oddaljenih omrežij na ASA je namera; CHILD SA so rezultat.

Ko par manjka, je popravek običajno vrstica access-list ali vnos selektorja, ne nov predor.

Preverjajte z ukazi, ki poimenujejo predmet

Na ASA potrdite sejo IKE, nato SA IPsec, nato pare selektorja. Vsak ukaz odgovarja na drugo vprašanje in izvajanje samo prvega je način, da »predor je pokonci« postane napačen sklep. Preberite izhod za peera, ki ste ga resnično konfigurirali, ne za SA, ki je slučajno prvi na seznamu. Stran Azure odgovarja na ista tri vprašanja z lastnega vidika.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Nato vprašajte Azure o stanju povezave z az network vpn-connection show --name <connection> --query connectionStatus. Povezano z nič bajti na podatkovni poti je težava selektorja, ne usmerjanja.

Preizkusite en dovoljen tok na par, preglejte izvorni naslov, viden na drugi strani, in poskusite en vir, ki bi moral biti zavrnjen. Samo ta zadnji preizkus dokaže, da meja še obstaja.

Obseg šifriranja ločite od dovoljenja za dostop

Širok selektor ni dovoljenje. Če je podprta postavitev širša od politike aplikacije, obdržite ozke storitve v pravilih požarnega zidu in obseg šifriranja pustite tam, kjer mora biti.

Poti delovnih obremenitev Azure in lokalne povratne poti se pregledajo ločeno. Napovedi BGP, statični obseg omrežja in uporabniško določene poti morajo opisovati isto pot in nobena od njih ne sme rekurzivno zajeti transporta peera.

Razveljavitev in dokaz, da je uspela

Preden spremenite selektorje, shranite prejšnjo delujočo konfiguracijo in poznajte edini ukaz, ki jo vrne. Na ASA to pomeni shranjeno kopijo in ustrezno pot obnovitve, ne spomin na to, kaj ste uredili. Ukaz za obnovitev zapišite v zahtevek za spremembo, dokler je sprememba še hipotetična. Nato znova zaženite iste tri preverbe: stanje IKE, pari SA IPsec, en dovoljen tok na par.

Če par tudi po obnovitvi ne uspe, sprememba ni bila vzrok, in pravkar ste si prihranili drugo prekinitev.