Cisco ASA hadi Azure VPN: jozi za kiambishi awali za kichagua trafiki

Tuneli inapanda, IKE inaonekana mzima, na hakuna kinachopita ndani yake. Hii ndiyo hali ya kawaida ya tatizo la kichagua la ASA hadi Azure, na ndiyo sababu ninaandika mkataba kabla ya kugusa konsoli yoyote. Mkataba ni vitu vinne: vitu vinavyotambua kila peer, modeli ya muunganisho, jozi kamili za viambishi awali, na uthibitishaji unaothibitisha kila jozi. Kikosea hapa na kila amri inayofuata itarekebisha usanidi ambao haukupaswa kuujenga. Kitabu hiki cha utekelezaji ni mpangilio ninaotumia, pamoja na amri zinazoonyesha ni kitu gani hasa kilichokosea.

Andika vitu vinne kabla ya kusanidi

Anza na toleo na jukwaa la ASA, kituo cha mwisho cha umma, aina na SKU ya lango la Azure VPN, na lango la mtandao wa ndani linalowakilisha upande wako. Majina hayo manne ni msamiati wa kila kitu kinachofuata, na kila moja lina mhusika tofauti linapovunjika.

Ikiwa mawili kati yao bado ni makisio, simama. Orodha isiyo sahihi ya viambishi awali kwenye lango la mtandao wa ndani si tatizo la urekebishaji.

Chagua modeli moja ya muunganisho na acha kuchanganya violezo

Usanifu wa crypto map na usanifu wa tunnel interface ni usanidi tofauti, na kiolezo cha kimoja hakiwi halali kwa kingine kwa kubadilisha anwani ya peer. Andika unachojenga kabla ya kubandika kitu chochote, kwa sababu kutokulingana huonekana baadaye kama tatizo la kichagua na si kosa la usanidi. Mwongozo wa mwingiliano wa ASA wa Microsoft unashughulikia mifumo yote miwili na unasema ni modeli gani ya lango la Azure ambayo kila mmoja unadhani. Ikiwa maelezo yako hayataji modeli, bado huna usanifu.

Lango la Azure lenye msingi wa njia lenye vichagua trafiki vya msingi wa sera ni chaguo maalum lililoandikwa, si la kawaida. Ikiwa usanifu wako unategemea hilo, usanifu unapaswa kusema hivyo, kwa sababu modeli ya kawaida ya kichagua yenye msingi wa njia hufanya tofauti upande wa Azure.

Mipaka ya toleo pia ni sehemu ya mkataba. Ripoti ya zamani ya uwandani kuhusu kikomo cha vikoa vya usimbaji fiche ni data kuhusu matoleo mahususi, si sifa ya kudumu ya kila ASA.

Orodhesha jozi za viambishi awali, si majumuisho

Andika matrix. Kutoka A na B za ndani hadi X na Y za Azure ni jozi nne, na kila moja inahitaji ufunikaji au kutengwa wazi. Kuunganisha A na B kuwa jumuisho moja kunajumuisha pia kila kitu kilicho kati yao, na hivyo usanifu hukua tundu kwa utulivu.

Angalia yale ambayo peer wamejadiliana, si yale uliyohifadhi. Orodha ya mitandao ya ndani na ya mbali kwenye ASA ni nia; CHILD SA ni matokeo.

Jozi inapokosekana, marekebisho kawaida ni mstari wa access-list au ingizo la kichagua, si tuneli mpya.

Thibitisha kwa amri zinazotaja kitu

Kwenye ASA thibitisha kikao cha IKE, kisha SA za IPsec, kisha jozi za kichagua. Kila amri hujibu swali tofauti, na kuendesha ya kwanza tu ndiyo njia ambayo «tuneli iko juu» inakuwa hitimisho la uongo. Soma matokeo kwa peer uliyoisanidi kweli, si kwa SA inayotokea kuwa ya kwanza kwenye orodha. Upande wa Azure hujibu maswali hayo matatu kwa mtazamo wake.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Kisha muulize Azure hali ya muunganisho kwa az network vpn-connection show --name <connection> --query connectionStatus. Imeunganishwa na baiti sifuri kwenye njia ya data ni tatizo la kichagua, si la uelekezaji.

Jaribu mtiririko mmoja ulioruhusiwa kwa kila jozi, kagua anwani ya chanzo inayoonekana upande wa pili, na jaribu rasilimali moja ambayo inapaswa kukataliwa. Jaribio hilo la mwisho pekee ndilo linaothibitisha kwamba mpaka bado upo.

Tenganisha wigo wa usimbaji fiche na ruhusa ya ufikiaji

Kichagua kipana si ruhusa. Ikiwa mpangilio unaotumika ni mpana kuliko sera ya programu, weka huduma nyembamba kwenye sheria za firewall na uache wigo wa usimbaji fiche mahali unapopaswa kuwa.

Njia za mzigo wa kazi wa Azure na njia za kurudi za ndani hupitiwa tofauti. Matangazo ya BGP, wigo tuli wa mtandao na njia zilizofafanuliwa na mtumiaji lazima zieleze njia moja, na hakuna yoyote inayoweza kunasa usafirishaji wa peer kwa kurudia.

Kurudi nyuma na uthibitisho kwamba ilifanya kazi

Hifadhi usanidi uliokuwa ukiendesha kabla ya kubadilisha vichagua, na ujue amri moja inayourudisha. Kwenye ASA hiyo inamaanisha nakala iliyohifadhiwa na njia inayolingana ya kurejesha, si kumbukumbu ya kile ulichohariri. Andika amri ya kurejesha kwenye tiketi ya mabadiliko wakati mabadiliko bado ni ya kudhaniwa. Kisha endesha tena ukaguzi huo watatu: hali ya IKE, jozi za SA za IPsec, mtiririko mmoja ulioruhusiwa kwa kila jozi.

Ikiwa jozi bado inashindwa baada ya kurejesha, mabadiliko hayakuwa sababu, na umejiepusha kizimbani cha pili.