Тунелска подразумевана рута на Cisco ASA: када се она заиста примењује

Корисник даљинског приступа не стиже ни до чега иза ASA, док исти сервер одговара на ping из унутрашњег LAN-а. Тунел се подиже, клијент добија адресу из pool-а, а пакет ипак излази преко интернет подразумеване руте или нестаје. Овај образац обично значи да дешифровани саобраћај није нашао сопствену руту и пао је на обичну подразумевану руту. Исправка није још једно NAT правило; исправка је tunneled подразумевана рута.

Почните од симптома, не од конфигурације

Гледајте где пакет иде, а не где сте очекивали да иде. Снимак на спољном интерфејсу током неуспешне сесије показује дешифровани пакет како иде ка ISP gateway-у са још нетакнутом адресом из pool-а, или не показује ништа јер је претрага пропала. У оба случаја тунел није проблем.

Тунел изгледа здраво у show vpn-sessiondb, и баш зато људи настављају да дебагују IKE.

Од одбацивања од стране ACL-а ово разликује смер. Одбацивање од стране ACL-а се логује и броји, док рута која недостаје ствара неуспех претраге без одговарајућег уноса. Покрените show route за одредиште клијента и прочитајте шта је ASA заиста изабрала, укључујући да ли је изабрана подразумевана рута и која.

Како се tunneled претрага разликује

Cisco водич за статичко рутирање на ASA 9.23 документује посебну подразумевану руту за дешифровани VPN саобраћај који нема статичку или научену руту. Кључна реч tunneled означава ту руту, па дешифровани пакет може да падне на други следећи хоп од оног који ASA користи за сопствени транспорт. Конкретније руте и даље побеђују, зато клијент може да стигне до 10.0.0.0/8 кроз унутрашњи gateway и изгуби све остало.

Минималан распоред држи две подразумеване руте са различитим следећим хоповима. Једна носи сопствени саобраћај ASA-е, друга носи дешифровани саобраћај који нема бољу руту. Оба следећа хопа и даље морају бити достижна са интерфејса на који их повезујете.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Ако обе подразумеване руте показују на исти следећи хоп, кључна реч ништа не мења и симптом се неће померити.

Ограничења која одлучују да ли ће радити

Исти водич дозвољава само једну tunneled подразумевану руту и наводи да ECMP за њу није подржан, па не можете да делите оптерећење тим путем. Он такође наводи ограничења која се тичу праћења рута, провере повратног пута и неких токова инспекције и управљања. Прочитајте их у односу на инсталирану верзију пре него што дизајнирате око ове функције. Дизајн који их игнорише обично не успева на једном конкретном месту, а не свуда, и зато симптом изгледа повремено.

Провера повратног пута је она која уједа у асиметричним дизајнираним решењима. Ако би одговор стигао кроз други интерфејс од оног који ASA очекује, пакет се одбацује пре него што рутирање уопште постане важно. Поправите топологију или повратни пут, уместо да искључите проверу да бисте наметнули следећи хоп.

Праћење рута је засебна замка: праћени објекат обично чува обичну подразумевану руту, а не tunneled.

Шта кључна реч не ради

Она не бира изворну адресу коју ASA користи за изградњу IKE-а. Спољна крајња тачка тунела следи сопствени избор интерфејса и извора платформе, а tunneled подразумевана рута нема удела у тој одлуци. Њена промена неће поправити phase 1 који почиње са погрешне адресе.

Такође не претвара следећи хоп у proxy. Ако одредиште очекује HTTP CONNECT размену, слање сирових IP пакета на proxy хост даје вам само хост који их не рутира. Уместо тога конфигуришите proxy механизам који клијент подржава.

И не ствара даље прослеђивање. Gateway на који показујете и даље захтева руту назад ка VPN pool-у, плус превод извора тамо где дизајн то тражи.

Проверите пут од почетка до краја

Када је рута на месту, проверите четири ствари по реду: show route за одредиште које је потребно pool-у, снимак на интерфејсу ка новом следећем хопу, снимак на самом gateway-у и повратни пут од тог gateway-а до адресе из pool-а. Прва два доказују да је ASA изабрала тај пут, а последња два да неко на њему одговара.

Ако gateway одговара али клијент никада не види одговор, погледајте превод извора и повратну руту пре него што поново дирнете табелу рутирања.

Забележите верзију на којој сте проверили, јер је листа ограничења специфична за верзију и дизајн који ради на једној линији може да захтева други пут на другој. Та белешка живи дуже од исечка конфигурације.