Tunelirana privzeta pot na Cisco ASA: kdaj se res uporablja

Uporabnik oddaljenega dostopa ne doseže ničesar za ASA, medtem ko isti strežnik odgovarja na ping iz notranjega LAN-a. Tunel se dvigne, odjemalec dobi naslov iz pool-a, paket pa vseeno odide po internetni privzeti poti ali izgine. Ta vzorec običajno pomeni, da dešifriran promet ni našel lastne poti in je padel na običajno privzeto pot. Popravek ni še eno pravilo NAT; popravek je tunelirana privzeta pot.

Začnite s simptomom, ne s konfiguracijo

Opazujte, kam gre paket, namesto kam ste pričakovali, da bo šel. Zajem na zunanjem vmesniku med neuspešno sejo pokaže dešifriran paket na poti proti prehodu ISP z naslovom iz pool-a še nedotaknjenim, ali pa ne pokaže ničesar, ker iskanje ni uspelo. V obeh primerih tunel ni težava.

V show vpn-sessiondb je tunel videti zdrav, in prav zato ljudje še naprej razhroščujejo IKE.

Od zavrnitve zaradi ACL to loči smer. Zavrnitev zaradi ACL se beleži in šteje, medtem ko manjkajoča pot povzroči neuspeh iskanja brez ustreznega vnosa. Zaženite show route za odjemalčev cilj in preberite, kaj je ASA v resnici izbrala, vključno s tem, ali je bila izbrana privzeta pot in katera.

Kako se tunelirano iskanje razlikuje

Ciscov vodnik za statično usmerjanje na ASA 9.23 dokumentira ločeno privzeto pot za dešifriran VPN promet, ki nima statične ali naučene poti. Ključna beseda tunneled označuje to pot, zato lahko dešifriran paket pade na drug naslednji skok od tistega, ki ga ASA uporablja za lastni transport. Bolj specifične poti še vedno zmagajo, zato lahko odjemalec prek notranjega prehoda doseže 10.0.0.0/8 in izgubi vse ostalo.

Minimalna postavitev ohrani dve privzeti poti z različnima naslednjima skokoma. Ena nosi lastni promet ASA, druga nosi dešifriran promet, ki nima boljše poti. Oba naslednja skoka morata biti še vedno dosegljiva z vmesnika, na katerega ju pripnete.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Če obe privzeti poti kažeta na isti naslednji skok, ključna beseda ne spremeni ničesar in simptom se ne bo premaknil.

Omejitve, ki odločajo, ali bo delovalo

Isti vodnik dovoljuje le eno tunelirano privzeto pot in navaja, da ECMP zanjo ni podprt, zato po tej poti ne morete razporejati obremenitve. Navaja tudi omejitve v zvezi s sledenjem poti, preverjanjem povratne poti ter nekaterimi tokovi pregledovanja in upravljanja. Preberite jih glede na nameščeno izdajo, preden načrtujete okoli te funkcije. Načrt, ki jih ignorira, običajno spodleti na enem določenem mestu in ne povsod, zato je simptom videti občasen.

Preverjanje povratne poti je tisto, ki ugrizne v asimetričnih načrtih. Če bi odgovor prišel po drugem vmesniku, kot ga pričakuje ASA, se paket zavrže še preden usmerjanje postane pomembno. Popravite topologijo ali povratno pot, namesto da izklopite preverjanje, da bi vsilili naslednji skok.

Sledenje poti je ločena past: sledeni objekt običajno varuje običajno privzeto pot, ne tunelirane.

Česa ključna beseda ne naredi

Ne izbere izvornega naslova, ki ga ASA uporablja za gradnjo IKE. Zunanja končna točka tunela sledi lastni izbiri vmesnika in vira platforme, tunelirana privzeta pot pa pri tej odločitvi nima deleža. Če jo spremenite, ne boste popravili phase 1, ki izhaja z napačnega naslova.

Prav tako ne spremeni naslednjega skoka v proxy. Če cilj pričakuje izmenjavo HTTP CONNECT, pošiljanje surovih paketov IP na proxy gostitelja da le gostitelja, ki jih ne usmerja. Namesto tega nastavite proxy mehanizem, ki ga odjemalec podpira.

In ne ustvari posredovanja navzdol. Prehod, na katerega kažete, še vedno potrebuje pot nazaj v VPN pool, poleg tega pa pretvorbo vira, kjer načrt to zahteva.

Preverite pot od začetka do konca

Ko je pot nameščena, po vrsti preverite štiri stvari: show route za cilj, ki ga pool potrebuje, zajem na vmesniku proti novemu naslednjemu skoku, zajem na samem prehodu in povratno pot od tega prehoda do naslova iz pool-a. Prva dva dokazujeta, da je ASA izbrala to pot, zadnja dva pa, da nekdo na njej odgovarja.

Če prehod odgovarja, odjemalec pa nikoli ne vidi odgovora, poglejte pretvorbo vira in povratno pot, preden se znova dotaknete usmerjevalne tabele.

Zapišite izdajo, na kateri ste preverjali, ker je seznam omejitev odvisen od različice in načrt, ki deluje na eni veji, lahko na drugi potrebuje drugačno pot. Ta zapis preživi izsek konfiguracije.