Cisco ASA இல் tunneled இயல்புநிலை வழி: அது உண்மையில் எப்போது பொருந்தும்

தொலை அணுகல் பயனர் ASA-வுக்கு அப்பால் எதையும் அடைய முடிவதில்லை, ஆனால் அதே சேவையகம் உள் LAN-இல் இருந்து வரும் ping-களுக்குப் பதிலளிக்கிறது. சுரங்கப்பாதை மேலெழுகிறது, வாடிக்கையாளர் pool-இல் இருந்து ஒரு முகவரியைப் பெறுகிறார், ஆனாலும் பொதி இணைய இயல்புநிலை வழியாகவே வெளியேறுகிறது அல்லது மறைந்துவிடுகிறது. இந்த முறை பொதுவாக மறைகுறியாக்கப்பட்ட போக்குவரத்துக்குச் சொந்த வழி கிடைக்கவில்லை என்பதையும், அது சாதாரண இயல்புநிலைக்கு விழுந்தது என்பதையும் குறிக்கிறது. தீர்வு மற்றொரு NAT விதி அல்ல; தீர்வு tunneled இயல்புநிலை வழியாகும்.

கட்டமைப்பில் இருந்து அல்ல, அறிகுறியில் இருந்து தொடங்குங்கள்

பொதி எங்கே போகிறது என்பதைப் பாருங்கள், அது எங்கே போகும் என நீங்கள் எதிர்பார்த்ததை அல்ல. தோல்வியடைந்த அமர்வின் போது வெளி இடைமுகத்தில் எடுக்கப்பட்ட பிடிப்பு, pool முகவரி இன்னும் அப்படியே இருக்க, மறைகுறியாக்கப்பட்ட பொதி ISP நுழைவாயிலை நோக்கிச் செல்வதைக் காட்டுகிறது, அல்லது தேடல் தோல்வியடைந்ததால் எதையும் காட்டவில்லை. எப்படியிருந்தாலும் சுரங்கப்பாதை பிரச்சினை அல்ல.

show vpn-sessiondb-இல் சுரங்கப்பாதை ஆரோக்கியமாகத் தெரிகிறது, அதனால்தான் மக்கள் IKE-ஐ பிழைத்திருத்திக் கொண்டே இருக்கிறார்கள்.

ACL நிராகரிப்பிலிருந்து இதை வேறுபடுத்துவது திசை. ACL நிராகரிப்பு பதிவு செய்யப்பட்டு எண்ணப்படுகிறது, ஆனால் இல்லாத வழி பொருந்தும் பதிவு இல்லாமல் தேடல் தோல்வியை உருவாக்குகிறது. வாடிக்கையாளரின் இலக்குக்கு show route இயக்கி, ASA உண்மையில் எதைத் தேர்ந்தெடுத்தது என்பதைப் படியுங்கள், இயல்புநிலை வழி தேர்ந்தெடுக்கப்பட்டதா, எது என்பதும் உட்பட.

tunneled தேடல் எப்படி வேறுபடுகிறது

Cisco-வின் ASA 9.23 நிலையான வழியமைப்பு வழிகாட்டியில் நிலையான அல்லது கற்ற வழி இல்லாத மறைகுறியாக்கப்பட்ட VPN போக்குவரத்துக்கு தனி இயல்புநிலை வழி ஆவணப்படுத்தப்பட்டுள்ளது. tunneled முக்கியச் சொல் அந்த வழியைக் குறிக்கிறது, எனவே மறைகுறியாக்கப்பட்ட பொதி ASA தன் சொந்த போக்குவரத்துக்குப் பயன்படுத்தும் அடுத்த தாவலில் இருந்து வேறான ஒன்றுக்கு விழலாம். இன்னும் குறிப்பிட்ட வழிகள் வெற்றி பெறுகின்றன, அதனால்தான் வாடிக்கையாளர் உள் நுழைவாயில் வழியாக 10.0.0.0/8-ஐ அடைந்து மற்ற அனைத்தையும் இழக்க முடிகிறது.

குறைந்தபட்ச அமைப்பு வெவ்வேறு அடுத்த தாவல்களுடன் இரண்டு இயல்புநிலை வழிகளை வைத்திருக்கிறது. ஒன்று ASA-வின் சொந்த போக்குவரத்தை எடுத்துச் செல்கிறது, மற்றொன்று சிறந்த வழி இல்லாத மறைகுறியாக்கப்பட்ட போக்குவரத்தை எடுத்துச் செல்கிறது. நீங்கள் இணைக்கும் இடைமுகத்திலிருந்து இரண்டு அடுத்த தாவல்களும் இன்னும் அணுகக்கூடியதாக இருக்க வேண்டும்.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

இரண்டு இயல்புநிலை வழிகளும் ஒரே அடுத்த தாவலை நோக்கிக் காட்டினால், முக்கியச் சொல் எதையும் மாற்றாது, அறிகுறியும் நகராது.

அது வேலை செய்யுமா என்பதைத் தீர்மானிக்கும் கட்டுப்பாடுகள்

அதே வழிகாட்டி ஒரே ஒரு tunneled இயல்புநிலை வழியை மட்டுமே அனுமதிக்கிறது, அதற்கு ECMP ஆதரிக்கப்படவில்லை என்று கூறுகிறது, எனவே அந்தப் பாதையில் சுமையைப் பங்கிட முடியாது. வழிக் கண்காணிப்பு, திரும்பும் பாதை சரிபார்ப்பு, சில ஆய்வு மற்றும் மேலாண்மை ஓட்டங்கள் தொடர்பான கட்டுப்பாடுகளையும் அது பட்டியலிடுகிறது. இந்த அம்சத்தைச் சுற்றி வடிவமைப்பதற்கு முன், அவற்றை உங்கள் நிறுவப்பட்ட வெளியீட்டுடன் ஒப்பிட்டுப் படியுங்கள். அவற்றைப் புறக்கணிக்கும் வடிவமைப்பு பொதுவாக எல்லா இடங்களிலும் அல்ல, ஒரு குறிப்பிட்ட இடத்தில் தோல்வியடைகிறது, அதனால்தான் அறிகுறி இடைவிட்டு வருவது போல் தெரிகிறது.

சமச்சீரற்ற வடிவமைப்புகளில் கடிக்கின்றது திரும்பும் பாதை சரிபார்ப்புதான். ASA எதிர்பார்க்கும் இடைமுகத்திலிருந்து வேறு இடைமுகம் வழியாகப் பதில் வந்தால், வழியமைப்பு முக்கியமாகும் முன்பே பொதி நிராகரிக்கப்படுகிறது. சரிபார்ப்பை அணைத்து அடுத்த தாவலை வலுக்கட்டாயமாக்குவதற்குப் பதிலாக இடவியல் அல்லது திரும்பும் பாதையைச் சரிசெய்யுங்கள்.

வழிக் கண்காணிப்பு தனி பொறி: கண்காணிக்கப்படும் பொருள் பொதுவாக சாதாரண இயல்புநிலை வழியைக் காக்கிறது, tunneled-ஐ அல்ல.

முக்கியச் சொல் என்ன செய்யாது

ASA IKE உருவாக்கப் பயன்படுத்தும் மூல முகவரியை அது தேர்ந்தெடுக்காது. சுரங்கப்பாதையின் வெளிப்புற முனைத் தளம் இயங்குதளத்தின் சொந்த இடைமுகம் மற்றும் மூலத் தேர்வைப் பின்பற்றுகிறது, அந்த முடிவில் tunneled இயல்புநிலை வழிக்கு எந்தப் பங்கும் இல்லை. அதை மாற்றுவது தவறான முகவரியிலிருந்து தொடங்கும் phase 1-ஐ சரிசெய்யாது.

அடுத்த தாவலை அது ப்ராக்ஸியாகவும் மாற்றாது. இலக்கு HTTP CONNECT பரிமாற்றத்தை எதிர்பார்த்தால், ப்ராக்ஸி புரவலனுக்கு மூல IP பொதிகளை அனுப்புவது அவற்றை வழியமைக்காத புரவலனை மட்டுமே தரும். அதற்குப் பதிலாக வாடிக்கையாளர் ஆதரிக்கும் ப்ராக்ஸி முறையைக் கட்டமைக்கவும்.

மேலும் அது கீழ்நோக்கிய அனுப்பலை உருவாக்காது. நீங்கள் சுட்டும் நுழைவாயிலுக்கு VPN pool-க்குத் திரும்பும் வழி இன்னும் தேவை, மேலும் வடிவமைப்பு கோரும் இடத்தில் மூல மொழிபெயர்ப்பும் தேவை.

பாதையை தொடக்கத்திலிருந்து இறுதி வரை சரிபார்க்கவும்

வழி அமைந்த பிறகு, நான்கு விஷயங்களை வரிசையாகச் சரிபார்க்கவும்: pool-க்குத் தேவையான இலக்குக்கு show route, புதிய அடுத்த தாவலை நோக்கிய இடைமுகத்தில் ஒரு பிடிப்பு, நுழைவாயிலிலேயே ஒரு பிடிப்பு, அந்த நுழைவாயிலிலிருந்து pool முகவரிக்குத் திரும்பும் பாதை. முதல் இரண்டு ASA அந்தப் பாதையைத் தேர்ந்தெடுத்ததை நிரூபிக்கின்றன, கடைசி இரண்டு அங்கே யாரோ பதிலளிப்பதை நிரூபிக்கின்றன.

நுழைவாயில் பதிலளிக்கிறது ஆனால் வாடிக்கையாளருக்குப் பதில் என்றும் தெரியவில்லை என்றால், வழியமைப்பு அட்டவணையை மீண்டும் தொடுவதற்கு முன் மூல மொழிபெயர்ப்பையும் திரும்பும் வழியையும் பாருங்கள்.

நீங்கள் சரிபார்த்த வெளியீட்டைப் பதிவு செய்யுங்கள், ஏனெனில் கட்டுப்பாடுகளின் பட்டியல் பதிப்பைப் பொறுத்தது, ஒரு ரயிலில் வேலை செய்யும் வடிவமைப்பு மற்றொன்றில் வேறு பாதையைத் தேவைப்படுத்தலாம். அந்தக் குறிப்பு கட்டமைப்புத் துண்டை விட நீண்ட காலம் வாழும்.