Cisco ASA ка Azure VPN: парови префикса селектора саобраћаја

Тунел се диже, IKE изгледа здраво, а ништа кроз њега не пролази. То је уобичајен облик проблема селектора од ASA до Azure, и зато пишем уговор пре него што дотакнем било коју конзолу. Уговор су четири ствари: објекти који идентификују сваког peer-а, модел везе, тачни парови префикса и верификација која доказује сваки пар. Погрешите овде и свака наредна команда ће дебаговати конфигурацију коју нисте требали да градите. Овај runbook је редослед који користим, са командама које показују који је објекат заиста погрешан.

Запишите четири објекта пре конфигурације

Почните са издањем и платформом ASA, јавним endpoint-ом, типом и SKU-ом Azure VPN gateway-а и локалним мрежним gateway-ом који представља вашу страну. Та четири имена су речник за све што следи, и свако има другог власника кад се нешто поквари.

Ако су два од њих још претпоставке, станите. Погрешна листа префикса на локалном мрежном gateway-у није проблем подешавања.

Изаберите један модел везе и престаните да мешате шаблоне

Дизајн са crypto map и дизајн са tunnel interface су различите конфигурације, и шаблон једног не постаје важећи за други променом адресе peer-а. Запишите који градите пре него што било шта залепите, јер се неусклађеност касније појављује као проблем селектора, а не као грешка у конфигурацији. Microsoft-ов водич за интероперабилност ASA покрива оба обрасца и наводи који модел Azure gateway-а сваки претпоставља. Ако ваше белешке не именују модел, још немате дизајн.

Azure gateway заснован на рутама са селекторима саобраћаја заснованим на политикама је конкретна документована опција, а не подразумевана. Ако ваш дизајн зависи од ње, дизајн то мора да каже, јер се подразумевани модел селектора заснованог на рутама понаша другачије на страни Azure.

Ограничења верзија такође припадају уговору. Стари теренски извештај о ограничењу домена шифровања је податак о одређеним издањима, а не трајно својство сваког ASA.

Наведите парове префикса, а не агрегате

Напишите матрицу. Од локалних A и B до Azure X и Y су четири пара, и сваки треба покривеност или експлицитно изузимање. Спајање A и B у један агрегат укључује и све што је између њих, и тако дизајн тихо расте рупу.

Проверите шта су peer-ови преговарали, а не шта сте сачували. Листа локалних и удаљених мрежа на ASA је намера; CHILD SA су резултат.

Кад пар недостаје, исправка је обично линија access-list или унос селектора, а не нови тунел.

Проверите командама које именују објекат

На ASA потврдите IKE сесију, затим IPsec SA, затим парове селектора. Свака команда одговара на друго питање, а покретање само прве је начин на који „тунел је подигнут“ постаје лажни закључак. Читајте излаз за peer који сте заиста конфигурисали, а не за SA који је случајно први на листи. Страна Azure одговара на иста три питања из свог угла.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Затим питајте Azure о стању везе помоћу az network vpn-connection show --name <connection> --query connectionStatus. Повезано са нула бајтова у путањи података је проблем селектора, а не рутирања.

Тестирајте један дозвољени ток по пару, прегледајте изворну адресу видљиву на другој страни и покушајте један ресурс који би требало одбити. Само тај последњи тест доказује да граница још постоји.

Држите обим шифровања одвојено од дозволе приступа

Широк селектор није дозвола. Ако је подржани распоред шири од политике апликације, држите уске сервисе у firewall правилима и оставите обим шифровања где мора бити.

Руте радних оптерећења Azure и локалне повратне руте прегледају се одвојено. BGP најаве, статички обим мреже и кориснички дефинисане руте морају описивати исту путању, и ниједна од њих не сме рекурзивно захватити транспорт peer-а.

Враћање и доказ да је успело

Сачувајте претходну радну конфигурацију пре промене селектора и знајте једну команду која је враћа. На ASA то значи сачувану копију и одговарајућу путању враћања, а не сећање на оно што сте уредили. Упишите команду враћања у тикет промене док је промена још хипотетичка. Затим поново покрените исте три провере: IKE стање, парови IPsec SA, један дозвољени ток по пару.

Ако пар и даље не успева након враћања, промена није била узрок, и управо сте себи уштедели други прекид.