Jinsi ya kuiga mtiririko wa VPN kwa ASA packet-tracer

Packet-tracer kwenye ASA hujibu swali dogo: je, pakiti hii, inayoingia hapa na tuple hii, ingeruhusiwa, na ingeenda wapi. Haijibu kama upande wa mbali unapokea kitu. Hitilafu ya kawaida ni kuingiza tuple ya IKE ya nje wakati kile unachotaka kujaribu ni programu inayosafiri ndani ya handaki. Rekebisha tuple kwanza, soma awamu, kisha pata ushahidi halisi kwa kila kitu ambacho kiiga hakiwezi kuona.

Mzunguko hapa chini unadhani kuwa ACL, kanuni ya NAT na muktadha wa tunnel-group ziko mbele yako. Bila hizo, matokeo yanaeleza sera ambayo huwezi kuikagua.

Hatua 1: andika mtiririko wa ndani kwa maneno rahisi

Eleza programu kabla ya kuandika chochote. Mwenyeji wa ndani anayefungua SSH kwa seva nyuma ya lango la mbali ni mtiririko mmoja wa ndani wa TCP wenye bandari maalum ya chanzo. Huo ndio mtiririko ambao ACL na kichujio cha VPN hupima, kwa hivyo huo ndio mtiririko unaoandika.

Andika kama sentensi, kisha uitafsiri uga kwa uga:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Hatua 2: chagua kiingilio na mwelekeo

Kiingilio ni kiolesura ambacho pakiti hufika, sio kile inachoondoka. Kwa mwenyeji wa LAN anayeanzisha, ni kiolesura cha inside. Kwa pakiti ya majibu ya kikao hicho hicho, ni kiolesura cha outside, na tuple hupinduka. Kuandika lengo kama chanzo ni njia ya pili inayojulikana zaidi ya kupata ALLOW ya kushawishi lakini isiyohusika.

Bandari pia zina mwelekeo. Bandari ya huduma ni ya uga wa lengo katika ombi lililoanzishwa, na bandari ya muda ya mteja ni ya uga wa chanzo. Mfano wenye lengo la TCP 500 unaeleza programu ya TCP inayosikiliza 500; haifanyiki kuwa jaribio la IKE kwa sababu tu namba inaonekana kwenye amri.

Hatua 3: soma awamu kwa mpangilio

Kila awamu katika matokeo ni uamuzi wenye mmiliki: utafutaji wa njia, ACL, NAT, kisha uchaguzi wa VPN au handaki. Zisome kwa mpangilio uliochapishwa na usimame katika awamu ya kwanza isiyolingana na muundo.

NAT huwakamata watu. Ikiwa chanzo kilichotafsiriwa kiko nje ya crypto ACL inayochagua trafiki kwa handaki, mtiririko unaweza kuruhusiwa na kamwe usifungwe. Ufuatiliaji huchapisha anwani iliyotafsiriwa, kwa hivyo ilinganishe na trafiki ya kuvutia ya handaki badala ya anwani ya awali.

Hatua 4: angalia ni njia gani za kupita kando ulizochagua

Umbo la detailed huchukua chaguo zinazoruka ukaguzi, na Cisco huandika chaguo la bypass-checks linalojumuisha ACL, kichujio cha VPN, uRPF na ukaguzi wa kughushi wa IPsec. ALLOW inayopatikana na hizo zimerukwa husema njia na NAT zingefanya kazi, sio kwamba sera ingekubali pakiti halisi. Andika chaguo kando ya matokeo.

Ikiwa unahitaji jibu la sera, endesha bila njia za kupita kando. Ikiwa unatenga swali la uelekezaji, endesha nazo na uweke alama matokeo kama jibu la uelekezaji.

Hatua 5: funga pengo na mabadilishano halisi

Ruhusa iliyoigwa huishia kwenye ASA. Ikiwa lango la mbali lilifumbua pakiti, ikiwa seva ilikubali muunganisho, na ikiwa jibu lilirudi ni uchunguzi tofauti. Tumia vihesabu vya ncha au nakala nyembamba kwenye njia iliyoidhinishwa.

Baadhi ya chaguo za trace na replay husafirisha pakiti au kuhifadhi hali. Fuata tabia iliyoandikwa kwa toleo lako na utaratibu wako wa uchunguzi ulioidhinishwa badala ya kuchukua kila lahaja kama utafutaji wa kusoma tu.

Kile ufuatiliaji bado hauwezi kukuambia

Weka vitu vinne katika kumbuka moja: tuple, kanuni ya NAT inayolingana, handaki au sera inayopaswa kubeba mtiririko, na uchunguzi maalum wa mwelekeo. Bila hizo, mhandisi wa baadaye hawezi kutenganisha uamuzi wa sera wa ndani na ndege ya udhibiti iliyoanzishwa na huduma inayofanya kazi. Kushindwa kwa kwanza kikifuatiwa na mafanikio pia si uthibitisho kwamba handaki ilipaswa kupanda katikati; andika awamu na mabadiliko ya hali.

Anza na tuple ya ndani, simama katika awamu ya kwanza inayopingana na muundo, na kisha tu fikia ushahidi wa ncha. Ufuatiliaji ni orakuli ya sera, si risiti ya uwasilishaji.