Wadada caadiga ah ee tunneled ee Cisco ASA: goorta dhab ahaan loo isticmaalo

Isticmaale gelitaan fog ma gaaro wax ka shisheeya ASA halka isla serverku ka jawaabo ping-yada LAN-ka gudaha. Tunnel-ku wuu soo baxaa, macmiilku wuxuu ciwaan ka helaa pool-ka, haddana baakaddu waxay uga baxdaa wadada caadiga ah ee internet-ka ama way lumaa. Qaabkani badanaa waxay la macno tahay in taraafikada la furay aysan helin waddo u gaar ah oo ay ku dhacday wadada caadiga ah. Xallintu ma aha sharci NAT kale; xallintu waa wadada caadiga ah ee tunneled.

Ka bilow calaamadda, ma aha habaynta

Fiiri halka baakaddu u socoto, ma aha halka aad filayay inay u socoto. Qabasho ku taal interface-ka bannaanka inta lagu jiro fadhi guuldareystay waxay tusaysaa baakadda la furay oo u socota gateway-ka ISP iyadoo ciwaanka pool-ka wali aan dhaqaaqin, ama waxba ma tusayso sababtoo ah raadintu waa guuldareystay. Labada xaaladba tunnel-ku maaha dhibaatada.

show vpn-sessiondb tunnel-ku wuxuu u muuqdaa mid caafimaad qaba, taasina waa sababta dadku u sii wadaan debug-ga IKE.

Waxa tan ka soocaya tuurista ACL waa jihada. Tuurista ACL waa la diiwaangeliyaa oo la tiriyo, halka waddo maqan ay keento guuldareysta raadin oo aan lahayn gelin u dhiganta. Ordow show route oo u soco goobta macmiilka oo akhri waxa ASA ay dhab ahaan dooratay, oo ay ku jirto haddii waddo caadi ah la doortay iyo tee.

Sida raadinta tunneled uga duwan tahay

Hagaha Cisco ee habaynta static ee ASA 9.23 wuxuu diiwaangeliyay waddo caadi ah oo gaar ah taraafikada VPN ee la furay oo aan lahayn waddo static ama la bartay. Erayga tunneled wuxuu calaamadeeyaa waddadaas, sidaas darteed baakad la furay waxay ku dhici kartaa boodhka xiga oo ka duwan kii ASA u isticmaasho gaadiidkeeda. Wadooyinka gaar ah ayaa wali guulaysta, taasina waa sababta macmiilku u gaari karo 10.0.0.0/8 isagoo maraya gateway-ka gudaha oo u lumo wax kasta oo kale.

Qaabaynta ugu yar waxay haysaa laba waddo caadi ah oo leh boodhka xiga oo kala duwan. Mid wuxuu qaadaa taraafikada ASA lafteeda, tan kalena waxay qaaddaa taraafikada la furay oo aan lahayn waddo ka fiican. Labada boodh ee xiga wali waa in laga gaari karaa interface-ka aad ku xidho.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Haddii labada waddo caadi ah ay tilmaamaan isla boodhka xiga, eraygu waxba ma beddelo oo calaamaddu ma dhaqaaqdo.

Xannibaadaha go'aamiya haddii ay shaqeynayso

Isla hagaha wuxuu oggolaanayaa kaliya hal waddo caadi ah oo tunneled wuxuuna sheegayaa in ECMP aan la taageerin taas, marka ma qaybin kartid culayska waddadaas. Wuxuu kaloo taxayaa xannibaadyo la xiriira raadraaca wadooyinka, xaqiijinta waddada dib u noqodka, iyo qaar ka mid ah socodka kormeerka iyo maaraynta. Ku akhri iyaga oo la barbardhigaya sii-dejintaada ka hor intaadan ka naqshadeyn hawshan. Naqshad iska indhatirta ayaa badanaa ku guuldareysta hal meel oo gaar ah halkii ay meel walba ku guuldareysan lahayd, taasina waa sababta calaamaddu u muuqato mid goos goos ah.

Xaqiijinta waddada dib u noqodka waa tan ku qaniinta naqshadaha aan isku mid ahayn. Haddii jawaabtu ku soo dhacdo interface ka duwan kii ASA filayay, baakadda waa la tuuraa ka hor inta aan habayntu macne yeelan. Hagaaji topology-ga ama waddada soo noqodka halkii aad ka damin lahayd xaqiijinta si aad u khasabto boodh xiga.

Raadraaca wadooyinka waa dabin gaar ah: shayga la raadraacayo badanaa wuxuu ilaaliyaa waddada caadiga ah, ma aha tan tunneled.

Waxa eraygu aanu samayn

Ma dooranayo ciwaanka isha ee ASA u isticmaasho dhisidda IKE. Barta dambe ee tunnel-ka ee bannaanka waxay raacdaa doorashada interface iyo isha ee platform-ka lafteeda, waddada caadiga ah ee tunneled-na wax qayb ah kuma laha go'aankaas. Beddelkeeda ma hagaajinayso phase 1 oo ka soo bilaabma ciwaan khaldan.

Sidoo kale boodhka xiga kama dhigto proxy. Haddii goobtu filayso is-dhaafsiga HTTP CONNECT, u dirista baakadaha IP ee ceyriin host proxy waxay ku siinaysaa kaliya host aan iyaga wadin. Taa beddelkeeda habee habka proxy ee macmiilku taageero.

Oo ma abuurto gudbinta hoos. Gateway-ka aad tilmaamayso wali wuxuu u baahan yahay waddo ku noqota VPN pool, iyo sidoo kale tarjumaadda isha halka naqshaddu u baahan tahay.

Xaqiiji waddada bilow ilaa dhammaad

Ka dib marka waddada la dhigto, si isku xigta u hubi afar shay: show route oo loogu talagalay goobta pool-ku u baahan yahay, qabasho ku taal interface-ka u jeedda boodhka xiga ee cusub, qabasho ku taal gateway-ka laftiisa, iyo waddo soo noqod oo ka timaadda gateway-kaas ilaa ciwaanka pool-ka. Labada hore waxay caddeeyaan in ASA ay dooratay waddadaas, labada dambe-na waxay caddeeyaan in qof ku jawaabayo.

Haddii gateway-ku jawaabo laakiin macmiilku marnaba arkin jawaab, fiiri tarjumaadda isha iyo waddada soo noqodka ka hor intaadan mar kale taaban shaxda wadooyinka.

Diiwaangeli sii-dejinta aad ku xaqiijisay, sababtoo ah liiska xannibaadaha wuxuu ku xiran yahay nooca, naqshad ku shaqeeya hal tareen ayaa laga yaabaa inay u baahato waddo kale mid kale. Qoraalkaas wuu ka cimri dheer yahay qaybta habaynta.