Cisco ASA ilaa Azure VPN: lammaanaha horgalaha ee xulaha taraafikada

Tunnel-ku wuu soo baxaa, IKE wuu caafimaad qabaa u eg yahay, waxbana kama gudbo. Taasi waa qaabka caadiga ah ee dhibaatada xulaha ASA ilaa Azure, taasna waa sababta aan qandaraaska u qoro ka hor inta aan taaban mid ka mid ah console-yada. Qandaraasku waa afar shay: shayada aqoonsada peer kasta, qaabka isku xirka, lammaanaha horgalaha ee saxda ah, iyo xaqiijinta caddaynaysa lammaane kasta. Ku khalad kuwan oo amar kasta oo dambe wuxuu debug-gayn doonaa qaab-dhismeed aanad ahayn inaad dhisto. Buug-hagidkani waa nidaamka aan isticmaalo, oo ay la socdaan amarada muujinaya shayga run ahaantii khaldan.

Qor afarta shay ka hor inta aanad habaynta

Ka bilow sii-daynta iyo platform-ka ASA, barta dhammaadka dadweynaha, nooca iyo SKU-ga gateway-ga Azure VPN, iyo gateway-ga shabakadda maxalliga ah ee matalaya dhinacaaga. Afarta magac waa erey-bixinta wax kasta oo soo socda, mid kastaa wuxuu leeyahay mas’uul ka duwan marka wax xumaado.

Haddii laba ka mid ah ay weli mala-awaal yihiin, istaag. Liiska horgalaha khaldan ee gateway-ga shabakadda maxalliga ah maaha dhibaato habayn.

Dooro hal qaab isku xir oo jooji isku-darka template-yada

Naqshadda crypto map iyo naqshadda tunnel interface waa habaynno kala duwan, template-ka midkoodna kuma noqdo mid ansax ah kan kale markaad beddesho cinwaanka peer-ka. Qor midka aad dhisayso ka hor inta aanad wax ku dhejin, sababtoo ah is-maqnahaanshaha ayaa mar dambe u muuqda dhibaato xuleed oo aan ahayn khalad habayn. Hagaha is-dhexgalka ASA ee Microsoft wuxuu daboolaa labada qaab wuxuuna sheegaa qaabka gateway-ga Azure ee mid kastaa uu u malaynayo. Haddii qoraalladaadu aysan magacaabin qaabka, wali naqshad ma lihid.

Gateway Azure oo ku saleysan waddada oo leh xuleyaal taraafik oo ku saleysan siyaasad waa ikhtiyaar gaar ah oo la diiwaangeliyay, maaha midka caadiga ah. Haddii naqshaddaadu ku tiirsan tahay, naqshaddu waa inay sidaas tidhaahdaa, sababtoo ah qaabka xulaha caadiga ah ee waddada ku saleysan ayaa dhinaca Azure u dhaqma si ka duwan.

Xaddidaadaha nooca ayaa sidoo kale qandaraaska ku jira. Warbixin duug ah oo ku saabsan xadka domain-yada sirta ah waa xog ku saabsan sii-daynto gaar ah, maaha sifo joogto ah oo ASA kasta.

Tiri lammaanaha horgalaha, maaha isu-geynta

Qor matrix-ka. Laga bilaabo A iyo B gudaha ilaa Azure X iyo Y waa afar lammaane, mid kastaana wuxuu u baahan yahay daboolid ama ka-bixin cad. A iyo B ku darid hal isu-geyn waxay sidoo kale ku dartaa wax kasta oo dhexdooda ah, sidaasna naqshaddu si aamusan ayay u koraa god.

Hubi waxa peer-yadu ka wada hadleen, maaha waxaad kaydisay. Liiska shabakadaha maxalliga ah iyo kuwa fog ee ASA waa ujeeddo; CHILD SA-yadu waa natiijada.

Marka lammaane maqan yahay, hagaajintu inta badan waa sadar access-list ama gelitaan xuleed, maaha tunnel cusub.

Ku xaqiiji amarada magaca shayga

ASA ku xaqiiji fadhi IKE, ka dib IPsec SA, ka dib lammaanaha xulaha. Amar kastaa wuxuu ka jawaabaa su’aal ka duwan, oo kaliya tan ugu horreysa fulinta ayaa «tunnel-ku wuu kacsan yahay» u rogaa go’aan been ah. Akhri wax-soo-saarka peer-ka aad run ahaantii habaysay, maaha SA-ga shil ahaan ugu horreeya liiska. Dhinaca Azure ayaa isla saddexdaas su’aalood ka jawaaba aragtidiisa.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Ka dib weydii Azure xaaladda isku xirka az network vpn-connection show --name <connection> --query connectionStatus. Ku xiran eber byte oo ku jira waddada xogta waa dhibaato xuleed, maaha mid waddo.

Tijaabi hal qulqul oo la oggolaaday lammaane kasta, baadh ciwaanka isha ee laga arko dhinaca kale, oo isku day hal kheyraad oo ah in la diido. Kaliya tijaabadaas ugu dambeysa ayaa caddaynaysa in xadku weli jiro.

Kala sooc baaxadda sirta iyo fasaxa gelitaanka

Xule ballaaran maaha fasax. Haddii qaabka la taageeray uu ka ballaaran yahay siyaasadda codsiga, hayso adeegyada cidhiidhiga ah ee xeerarka firewall oo ka tag baaxadda sirta meesha ay tahay inay ahaato.

Waddooyinka culeyska shaqada Azure iyo waddooyinka soo-noqoshada gudaha ayaa si gooni ah loo eegaa. Ogeysiisyada BGP, baaxadda shabakadda taagan iyo waddooyinka isticmaalahu qeexay waa inay sharraxaan isla waddadaas, midkoodna ma qabsan karo gaadiidka peer-ka si soo-noqnoqod ah.

Dib u noqosho iyo caddaynta inay shaqeysay

Kaydi habaynta socota ee hore ka hor inta aanad beddelin xuleyaasha, oo ogow hal amarka soo celiya. ASA taas macnaheedu waa nuqul kaydsan iyo waddada soo-celinta ee u dhiganta, maaha xusuusta waxaad tafatirtay. Qor amarka soo-celinta tigidhka isbeddelka inta isbeddelku weli mala-awaal yahay. Ka dib mar kale fuli isla saddexdaas hubin: xaaladda IKE, lammaanaha IPsec SA, hal qulqul oo la oggolaaday lammaane kasta.

Haddii lammaane weli guuldarraysto ka dib soo-celinta, isbeddelku sabab ma ahayn, oo waxaad hadda iska badbaadisay carqalad labaad.