Cisco ASA முதல் Azure VPN வரை: டிராஃபிக் தேர்வியின் முன்னொட்டு ஜோடிகள்

சுரங்கப்பாதை உயர்கிறது, IKE ஆரோக்கியமாகத் தெரிகிறது, ஆனால் அதன் வழியாக எதுவும் செல்லவில்லை. இது ASA முதல் Azure வரையிலான தேர்வி சிக்கலின் வழக்கமான வடிவம், அதனால்தான் எந்தக் கன்சோலையும் தொடுவதற்கு முன் ஒப்பந்தத்தை எழுதுகிறேன். ஒப்பந்தம் நான்கு விஷயங்கள்: ஒவ்வொரு பியரையும் அடையாளம் காணும் பொருட்கள், இணைப்பு மாதிரி, துல்லியமான முன்னொட்டு ஜோடிகள், ஒவ்வொரு ஜோடியையும் நிரூபிக்கும் சரிபார்ப்பு. இவற்றில் தவறு செய்தால், அடுத்த ஒவ்வொரு கட்டளையும் நீங்கள் கட்டியிருக்கக் கூடாத ஒரு கட்டமைப்பை பிழைத்திருத்தும். இந்தக் கையேடு நான் பயன்படுத்தும் வரிசை, எந்தப் பொருள் உண்மையில் தவறு என்பதைக் காட்டும் கட்டளைகளுடன்.

கட்டமைப்பதற்கு முன் நான்கு பொருட்களை எழுதுங்கள்

ASA வெளியீடு மற்றும் தளம், பொது முடிவுப்புள்ளி, Azure VPN நுழைவாயிலின் வகை மற்றும் SKU, உங்கள் பக்கத்தை பிரதிநிதித்துவப்படுத்தும் உள்ளூர் பிணைய நுழைவாயில் ஆகியவற்றிலிருந்து தொடங்குங்கள். அந்த நான்கு பெயர்களும் அடுத்து வரும் அனைத்திற்கும் சொல்லகராதி, ஏதாவது உடைந்தால் ஒவ்வொன்றுக்கும் வேறு பொறுப்பாளர் உள்ளார்.

அவற்றில் இரண்டு இன்னும் ஊகங்களாக இருந்தால், நிறுத்துங்கள். உள்ளூர் பிணைய நுழைவாயிலில் தவறான முன்னொட்டு பட்டியல் என்பது ட்யூனிங் சிக்கல் அல்ல.

ஒரு இணைப்பு மாதிரியைத் தேர்ந்தெடுத்து டெம்ப்ளேட்டுகளை கலப்பதை நிறுத்துங்கள்

crypto map வடிவமைப்பும் tunnel interface வடிவமைப்பும் வெவ்வேறு கட்டமைப்புகள், ஒன்றின் டெம்ப்ளேட் பியர் முகவரியைத் திருத்துவதால் மற்றொன்றுக்கு செல்லுபடியாகாது. எதையும் ஒட்டுவதற்கு முன் எதைக் கட்டுகிறீர்கள் என்பதைப் பதிவு செய்யுங்கள், ஏனெனில் பொருந்தாமை பின்னர் கட்டமைப்பு பிழையாக அல்ல, தேர்வி சிக்கலாகவே தோன்றும். Microsoft-இன் ASA இயங்குதள ஒருங்கிணைப்பு வழிகாட்டி இரண்டு வடிவங்களையும் உள்ளடக்கி, ஒவ்வொன்றும் எந்த Azure நுழைவாயில் மாதிரியை எதிர்பார்க்கிறது எனக் கூறுகிறது. உங்கள் குறிப்புகள் மாதிரியைப் பெயரிடவில்லை என்றால், இன்னும் வடிவமைப்பு இல்லை.

கொள்கை அடிப்படையிலான டிராஃபிக் தேர்விகளுடன் கூடிய பாதை அடிப்படையிலான Azure நுழைவாயில் ஒரு குறிப்பிட்ட ஆவணப்படுத்தப்பட்ட விருப்பம், இயல்புநிலை அல்ல. உங்கள் வடிவமைப்பு அதைச் சார்ந்திருந்தால், வடிவமைப்பு அதைச் சொல்ல வேண்டும், ஏனெனில் இயல்புநிலை பாதை அடிப்படையிலான தேர்வி மாதிரி Azure பக்கத்தில் வேறுவிதமாக நடந்துகொள்கிறது.

பதிப்பு வரம்புகளும் ஒப்பந்தத்தில் அடங்கும். மறையாக்க களங்களின் வரம்பு பற்றிய பழைய கள அறிக்கை குறிப்பிட்ட வெளியீடுகள் பற்றிய தரவு, ஒவ்வொரு ASA-வின் நிரந்தர பண்பு அல்ல.

தொகுப்புகளை அல்ல, முன்னொட்டு ஜோடிகளை எண்ணுங்கள்

அணியை எழுதுங்கள். உள்ளூர் A மற்றும் B இலிருந்து Azure X மற்றும் Y வரை நான்கு ஜோடிகள், ஒவ்வொன்றுக்கும் கவரேஜ் அல்லது வெளிப்படையான விலக்கு தேவை. A மற்றும் B-ஐ ஒரே தொகுப்பாக இணைப்பது அவற்றுக்கிடையே இருப்பதையும் சேர்க்கும், அதனால் வடிவமைப்பு அமைதியாக ஒரு துளையை வளர்க்கிறது.

நீங்கள் சேமித்ததை அல்ல, பியர்கள் பேச்சுவார்த்தை செய்ததைச் சரிபாருங்கள். ASA-இல் உள்ள உள்ளூர் மற்றும் தொலை பிணையப் பட்டியல் நோக்கம்; CHILD SA-கள் முடிவு.

ஜோடி இல்லாதபோது, சரிசெய்தல் வழக்கமாக ஒரு access-list வரி அல்லது தேர்வி உள்ளீடு, புதிய சுரங்கப்பாதை அல்ல.

பொருளைப் பெயரிடும் கட்டளைகளால் சரிபாருங்கள்

ASA-இல் IKE அமர்வு, பின்னர் IPsec SA-கள், பின்னர் தேர்வி ஜோடிகளை உறுதிப்படுத்துங்கள். ஒவ்வொரு கட்டளையும் வேறு கேள்விக்கு பதிலளிக்கிறது, முதல் ஒன்றை மட்டும் இயக்குவதே «சுரங்கப்பாதை மேலே உள்ளது» என்பதை தவறான முடிவாக மாற்றுகிறது. பட்டியலில் முதலில் வரும் SA அல்ல, நீங்கள் உண்மையில் கட்டமைத்த பியருக்கான வெளியீட்டைப் படியுங்கள். Azure பக்கமும் அதே மூன்று கேள்விகளுக்கு தன் பார்வையில் பதிலளிக்கிறது.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

பின்னர் az network vpn-connection show --name <connection> --query connectionStatus மூலம் Azure-இடம் இணைப்பு நிலையைக் கேளுங்கள். தரவுப் பாதையில் பூஜ்ஜிய பைட்டுகளுடன் «இணைக்கப்பட்டது» என்பது வழிமாற்று சிக்கல் அல்ல, தேர்வி சிக்கல்.

ஒவ்வொரு ஜோடிக்கும் ஒரு அனுமதிக்கப்பட்ட ஓட்டத்தை சோதியுங்கள், எதிர்ப்பக்கத்தில் தெரியும் மூல முகவரியை ஆய்வு செய்யுங்கள், மறுக்கப்பட வேண்டிய ஒரு வளத்தை முயற்சியுங்கள். அந்தக் கடைசி சோதனை மட்டுமே எல்லை இன்னும் உள்ளது என்பதை நிரூபிக்கிறது.

மறையாக்க எல்லையை அணுகல் அனுமதியிலிருந்து தனியாக வைத்திருங்கள்

பரந்த தேர்வி அனுமதி அல்ல. ஆதரிக்கப்படும் அமைப்பு பயன்பாட்டுக் கொள்கையை விட பரந்ததாக இருந்தால், குறுகிய சேவைகளை firewall விதிகளில் வைத்து, மறையாக்க எல்லையை இருக்க வேண்டிய இடத்தில் விடுங்கள்.

Azure பணிச்சுமை பாதைகளும் உள்ளூர் திரும்பும் பாதைகளும் தனித்தனியாக மதிப்பாய்வு செய்யப்படுகின்றன. BGP அறிவிப்புகள், நிலையான பிணைய எல்லை மற்றும் பயனர் வரையறுத்த பாதைகள் அனைத்தும் ஒரே பாதையை விவரிக்க வேண்டும், அவற்றில் எதுவும் பியர் போக்குவரத்தை மீளுருவாக்கமாகப் பிடிக்கக்கூடாது.

பின்னிழுத்தல் மற்றும் அது வேலை செய்ததற்கான ஆதாரம்

தேர்விகளை மாற்றுவதற்கு முன் முந்தைய இயங்கும் கட்டமைப்பைச் சேமியுங்கள், அதைத் திருப்பித் தரும் ஒரே கட்டளையை அறிந்திருங்கள். ASA-இல் அது சேமித்த நகல் மற்றும் பொருந்தும் மீட்டெடுப்பு பாதை, நீங்கள் திருத்தியதற்கான நினைவு அல்ல. மாற்றம் இன்னும் கற்பனையாக இருக்கும்போதே மீட்டெடுப்பு கட்டளையை மாற்ற டிக்கெட்டில் எழுதுங்கள். பின்னர் அதே மூன்று சரிபார்ப்புகளை மீண்டும் இயக்குங்கள்: IKE நிலை, IPsec SA ஜோடிகள், ஒவ்வொரு ஜோடிக்கும் ஒரு அனுமதிக்கப்பட்ட ஓட்டம்.

மீட்டெடுப்புக்குப் பிறகும் ஜோடி தோல்வியடைந்தால், மாற்றம் காரணம் அல்ல, இரண்டாவது இடையூறை நீங்கள் தவிர்த்தீர்கள்.