Cisco ASA në Azure VPN: çiftet e prefiksave të përzgjedhësit të trafikut

Tuneli ngrihet, IKE duket i shëndetshëm dhe asgjë nuk kalon nëpër të. Kjo është forma e zakonshme e një problemi të përzgjedhësit ASA–Azure, dhe prandaj e shkruaj kontratën para se të prek ndonjë nga konsolat. Kontrata është katër gjëra: objektet që identifikojnë çdo peer, modeli i lidhjes, çiftet e sakta të prefiksave dhe verifikimi që vërteton çdo çift. Gaboni këtu dhe çdo komandë e mëvonshme do të korrigjojë një konfigurim që nuk duhej ta ndërtonit. Ky runbook është rendi që përdor, bashkë me komandat që tregojnë cili objekt është vërtet i gabuar.

Shkruani katër objektet para se të konfiguroni

Filloni me versionin dhe platformën e ASA-s, endpointin publik, llojin dhe SKU-në e gateway-t Azure VPN, dhe gateway-in e rrjetit lokal që përfaqëson anën tuaj. Këta katër emra janë fjalori për gjithçka që vijon, dhe secili ka një pronar tjetër kur diçka prishet.

Nëse dy prej tyre janë ende supozime, ndaloni. Një listë e gabuar e prefiksave në gateway-in e rrjetit lokal nuk është problem rregullimi.

Zgjidhni një model lidhjeje dhe ndaloni përzierjen e shablloneve

Një dizajn crypto map dhe një dizajn tunnel interface janë konfigurime të ndryshme, dhe shablloni i njërës nuk bëhet i vlefshëm për tjetrën duke ndryshuar adresën e peer-it. Shënoni cilën po ndërtoni para se të ngjitni diçka, sepse mospërputhja shfaqet më vonë si problem i përzgjedhësit dhe jo si gabim konfigurimi. Udhëzuesi i ndërveprimit të ASA-s i Microsoft mbulon të dy modelet dhe thotë se cili model gateway Azure supozon secili. Nëse shënimet tuaja nuk e emërtojnë modelin, ju ende nuk keni një dizajn.

Një gateway Azure i bazuar në rrugë me përzgjedhës trafiku të bazuar në politikë është një opsion specifik i dokumentuar, jo ai i parazgjedhur. Nëse dizajni juaj varet prej tij, dizajni duhet ta thotë, sepse modeli i parazgjedhur i përzgjedhësit të bazuar në rrugë sillet ndryshe në anën Azure.

Kufizimet e versioneve gjithashtu i përkasin kontratës. Një raport i vjetër terreni për një kufi të domeneve të kriptimit është një pikë e dhënë për versione të caktuara, jo një veti e përhershme e çdo ASA.

Numëroni çiftet e prefiksave, jo agregatet

Shkruani matricën. Nga A dhe B lokale në X dhe Y të Azure janë katër çifte, dhe secili ka nevojë për mbulim ose përjashtim të qartë. Bashkimi i A dhe B në një agregat përfshin edhe gjithçka që ndodhet midis tyre, dhe kështu dizajni rrit qetësisht një vrimë.

Kontrolloni për çfarë janë marrë vesh peer-ët, jo çfarë keni ruajtur. Lista e rrjeteve lokale dhe të largëta në ASA është qëllimi; CHILD SA janë rezultati.

Kur mungon një çift, korrigjimi zakonisht është një rresht access-list ose një zë i përzgjedhësit, jo një tunel i ri.

Verifikoni me komanda që emërtojnë objektin

Në ASA konfirmoni sesionin IKE, më pas SA-të IPsec, më pas çiftet e përzgjedhësit. Çdo komandë përgjigjet një pyetjeje tjetër, dhe ekzekutimi vetëm i së parës është mënyra se si «tuneli është lart» bëhet një përfundim i rremë. Lexoni daljen për peer-in që keni konfiguruar vërtet, jo për SA-në që ndodh të jetë i pari në listë. Ana Azure u përgjigjet të njëjtave tre pyetjeve nga këndvështrimi i saj.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Më pas pyesni Azure për gjendjen e lidhjes me az network vpn-connection show --name <connection> --query connectionStatus. I lidhur me zero bajt në rrugën e të dhënave është problem i përzgjedhësit, jo i rrugëtimit.

Testoni një rrjedhë të lejuar për çift, inspektoni adresën burimore që shihet në anën tjetër dhe provoni një burim që duhet të refuzohet. Vetëm ai test i fundit dëshmon se kufiri ekziston ende.

Mbajeni shtrirjen e kriptimit të ndarë nga leja e aksesit

Një përzgjedhës i gjerë nuk është leje. Nëse faqosja e mbështetur është më e gjerë se politika e aplikacionit, mbajini shërbimet e ngushta në rregullat e firewall-it dhe lëreni shtrirjen e kriptimit aty ku duhet të jetë.

Rrugët e ngarkesave të punës Azure dhe rrugët e kthimit lokale rishikohen veçmas. Njoftimet BGP, shtrirja statike e rrjetit dhe rrugët e përcaktuara nga përdoruesi duhet të përshkruajnë të njëjtën rrugë, dhe asnjëra prej tyre nuk mund ta kapë transportin e peer-it në mënyrë rekursive.

Kthimi dhe prova që funksionoi

Ruani konfigurimin e mëparshëm në punë para se të ndryshoni përzgjedhësit, dhe njihni komandën e vetme që e kthen atë. Në ASA kjo do të thotë një kopje e ruajtur dhe rruga përkatëse e rivendosjes, jo kujtesa e asaj që keni redaktuar. Shkruani komandën e rivendosjes në biletën e ndryshimit ndërsa ndryshimi është ende hipotetik. Më pas ekzekutoni përsëri të njëjtat tre kontrolle: gjendja IKE, çiftet SA IPsec, një rrjedhë e lejuar për çift.

Nëse një çift dështon ende pas rivendosjes, ndryshimi nuk ishte shkaku, dhe sapo i kurseve vetes një ndërprerje të dytë.