Njia chaguo-msingi ya tunneled kwenye Cisco ASA: ni lini inatumika kweli

Mtumiaji wa ufikiaji wa mbali hafiki chochote nyuma ya ASA huku seva hiyo hiyo ikijibu ping kutoka LAN ya ndani. Handaki linakuja juu, mteja anapokea anwani kutoka kwenye pool, na pakiti bado inatoka kwa njia chaguo-msingi ya intaneti au inatoweka. Mtindo huu kwa kawaida humaanisha kwamba trafiki iliyofunuliwa haikupata njia yake yenyewe na ikaanguka kwenye njia chaguo-msingi ya kawaida. Suluhisho si kanuni nyingine ya NAT; suluhisho ni njia chaguo-msingi ya tunneled.

Anza na dalili, si na usanidi

Angalia pakiti inakwenda wapi, si pale ulipofikiria itakwenda. Kunasa kwenye kiolesura cha nje wakati wa kikao kilichoshindwa kunaonyesha pakiti iliyofunuliwa ikielekea lango la ISP na anwani ya pool bado haijaguswa, au hakuonyeshi chochote kwa sababu utafutaji umeshindwa. Kwa vyovyote vile handaki si tatizo.

Handaki linaonekana likiwa na afya katika show vpn-sessiondb, na ndiyo sababu watu wanaendelea kutatua matatizo ya IKE.

Kinachotofautisha hili na kutupwa kwa ACL ni mwelekeo. Kutupwa kwa ACL kunarekodiwa na kuhesabiwa, wakati njia inayokosekana huzalisha kosa la utafutaji bila ingizo linalolingana. Endesha show route kwa marudio ya mteja na usome kile ASA ilichochagua kweli, ikiwa ni pamoja na kama njia chaguo-msingi ilichaguliwa na ipi.

Jinsi utafutaji wa tunneled unavyotofautiana

Mwongozo wa Cisco wa uunganishaji tuli kwenye ASA 9.23 unaandika njia chaguo-msingi tofauti kwa trafiki ya VPN iliyofunuliwa ambayo haina njia tuli au iliyojifunza. Neno kuu tunneled huashiria njia hiyo, kwa hivyo pakiti iliyofunuliwa inaweza kuanguka kwenye hop inayofuata tofauti na ile ambayo ASA hutumia kwa usafirishaji wake yenyewe. Njia mahususi zaidi bado zinashinda, ndiyo sababu mteja anaweza kufikia 10.0.0.0/8 kupitia lango la ndani na kupoteza kila kitu kingine.

Mpangilio wa chini kabisa huweka njia mbili chaguo-msingi na hop zinazofuata tofauti. Moja hubeba trafiki ya ASA yenyewe, nyingine hubeba trafiki iliyofunuliwa isiyo na njia bora zaidi. Hop zote mbili zinazofuata bado zinapaswa kufikiwa kutoka kwenye kiolesura unachozifunga.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Iwapo njia zote mbili chaguo-msingi zinaelekeza kwenye hop moja inayofuata, neno kuu halibadilishi chochote na dalili hazitasogea.

Vizuizi vinavyoamua kama inafanya kazi

Mwongozo huo unaruhusu njia moja tu ya tunneled chaguo-msingi na unasema ECMP haitumiki kwa hiyo, kwa hivyo huwezi kugawanya mzigo kwenye njia hiyo. Pia unaorodhesha vizuizi vinavyohusiana na ufuatiliaji wa njia, uthibitishaji wa njia ya kurudi na baadhi ya mtiririko wa ukaguzi na usimamizi. Visome kwa kulinganisha na toleo lako lililosakinishwa kabla ya kubuni kuzunguka kipengele hiki. Muundo unaopuuza vizuizi hivyo kwa kawaida hushindwa mahali pamoja maalum badala ya kila mahali, na ndiyo sababu dalili huonekana kuja na kwenda.

Uthibitishaji wa njia ya kurudi ndio unaouma katika miundo isiyolingana. Iwapo jibu lingefika kupitia kiolesura tofauti na kile ASA inatarajia, pakiti hutupwa kabla uelekezaji haujawa na umuhimu. Rekebisha topolojia au njia ya kurudi badala ya kuzima uthibitishaji ili kulazimisha hop inayofuata.

Ufuatiliaji wa njia ni mtego tofauti: kitu kinachofuatiliwa kwa kawaida hulinda njia chaguo-msingi ya kawaida, si ile ya tunneled.

Kile ambacho neno kuu halifanyi

Halichagui anwani ya chanzo ambayo ASA hutumia kujenga IKE. Ncha ya nje ya handaki hufuata uchaguzi wa kiolesura na chanzo wa jukwaa lenyewe, na njia chaguo-msingi ya tunneled haina sehemu katika uamuzi huo. Kuibadilisha hakutarekebisha phase 1 inayoanzia anwani isiyo sahihi.

Pia haigeuzi hop inayofuata kuwa proksi. Iwapo marudio yanatarajia mabadilishano ya HTTP CONNECT, kutuma pakiti mbichi za IP kwa mwenyeji wa proksi hukupa tu mwenyeji asiyeelekeza pakiti hizo. Badala yake sanidi utaratibu wa proksi unaotumika kwa mteja.

Na haizalishi usambazaji wa chini. Lango unaloelekeza bado linahitaji njia ya kurudi kwenye pool ya VPN, pamoja na tafsiri ya chanzo pale muundo unapohitaji.

Thibitisha njia kutoka mwanzo hadi mwisho

Baada ya njia kuwekwa, angalia mambo manne kwa mpangilio: show route kwa marudio ambayo pool inahitaji, kunasa kwenye kiolesura kuelekea hop mpya inayofuata, kunasa kwenye lango lenyewe, na njia ya kurudi kutoka lango hilo hadi anwani ya pool. Mambo mawili ya kwanza yanathibitisha kwamba ASA ilichagua njia hiyo, na mawili ya mwisho yanathibitisha kwamba kuna mtu anajibu humo.

Iwapo lango linajibu lakini mteja haoni jibu kamwe, angalia tafsiri ya chanzo na njia ya kurudi kabla ya kugusa jedwali la njia tena.

Rekodi toleo ulilothibitisha nalo, kwa sababu orodha ya vizuizi inategemea toleo na muundo unaofanya kazi kwenye treni moja unaweza kuhitaji njia tofauti kwenye nyingine. Dokezo hilo huishi muda mrefu kuliko kipande cha usanidi.