Cisco ASAలో tunneled డిఫాల్ట్ రూట్: అది నిజంగా ఎప్పుడు వర్తిస్తుంది

రిమోట్ యాక్సెస్ వినియోగదారు ASAకి ఆవల ఏదీ చేరుకోలేరు, అయితే అదే సర్వర్ లోపలి LAN నుండి వచ్చే pingలకు సమాధానం ఇస్తుంది. టన్నెల్ పైకి వస్తుంది, క్లయింట్ pool నుండి చిరునామా పొందుతుంది, అయినా ప్యాకెట్ ఇంటర్నెట్ డిఫాల్ట్ ద్వారానే బయటకు వెళ్తుంది లేదా మాయమవుతుంది. ఈ నమూనా సాధారణంగా డీక్రిప్ట్ చేసిన ట్రాఫిక్కు సొంత రూట్ దొరకలేదని, అది సాధారణ డిఫాల్ట్కు పడిపోయిందని అర్థం. పరిష్కారం మరో NAT నియమం కాదు; పరిష్కారం tunneled డిఫాల్ట్.

కాన్ఫిగరేషన్ నుండి కాదు, లక్షణం నుండి ప్రారంభించండి

ప్యాకెట్ ఎక్కడికి వెళ్తుందో చూడండి, అది ఎక్కడికి వెళ్తుందని మీరు ఊహించింది కాదు. విఫలమైన సెషన్ సమయంలో బయటి ఇంటర్ఫేస్పై తీసిన క్యాప్చర్, pool చిరునామా ఇంకా చెక్కుచెదరకుండానే డీక్రిప్ట్ చేసిన ప్యాకెట్ ISP గేట్వే వైపు వెళ్తున్నట్లు చూపిస్తుంది, లేదా శోధన విఫలమైనందున ఏమీ చూపదు. రెండు సందర్భాలలోనూ టన్నెల్ సమస్య కాదు.

show vpn-sessiondbలో టన్నెల్ ఆరోగ్యంగా కనిపిస్తుంది, అందుకే ప్రజలు IKE డీబగ్ చేస్తూనే ఉంటారు.

ACL డ్రాప్ నుండి దీన్ని వేరు చేసేది దిశ. ACL డ్రాప్ లాగ్ అవుతుంది మరియు లెక్కించబడుతుంది, కానీ లేని రూట్ సరిపోలే ఎంట్రీ లేకుండా శోధన వైఫల్యాన్ని కలిగిస్తుంది. క్లయింట్ గమ్యానికి show route నడపండి మరియు ASA నిజంగా ఏమి ఎంచుకుందో చదవండి, డిఫాల్ట్ ఎంచుకోబడిందా మరియు ఏది అనేది కూడా.

tunneled శోధన ఎలా భిన్నం

Cisco యొక్క ASA 9.23 స్టాటిక్-రూటింగ్ గైడ్లో స్టాటిక్ లేదా నేర్చుకున్న రూట్ లేని డీక్రిప్ట్ చేసిన VPN ట్రాఫిక్ కోసం ప్రత్యేక డిఫాల్ట్ నమోదు చేయబడింది. tunneled కీవర్డ్ ఆ రూట్ను సూచిస్తుంది, కాబట్టి డీక్రిప్ట్ చేసిన ప్యాకెట్ ASA తన సొంత రవాణా కోసం ఉపయోగించే తదుపరి హాప్ నుండి భిన్నమైన దానికి పడవచ్చు. మరింత నిర్దిష్ట రూట్లు ఇప్పటికీ గెలుస్తాయి, అందుకే క్లయింట్ అంతర్గత గేట్వే ద్వారా 10.0.0.0/8కి చేరుకోగలదు మరియు మిగతావన్నీ కోల్పోగలదు.

కనిష్ఠ అమరిక వివిధ తదుపరి హాప్లతో రెండు డిఫాల్ట్లను ఉంచుతుంది. ఒకటి ASA యొక్క సొంత ట్రాఫిక్ను మోస్తుంది, మరొకటి మెరుగైన రూట్ లేని డీక్రిప్ట్ చేసిన ట్రాఫిక్ను మోస్తుంది. మీరు వాటిని కలిపే ఇంటర్ఫేస్ నుండి రెండు తదుపరి హాప్లు ఇప్పటికీ చేరుకోగలిగి ఉండాలి.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

రెండు డిఫాల్ట్లు ఒకే తదుపరి హాప్ను సూచిస్తే, కీవర్డ్ ఏమీ మార్చదు మరియు లక్షణం కదలదు.

అది పనిచేస్తుందో లేదో నిర్ణయించే పరిమితులు

అదే గైడ్ ఒకే ఒక tunneled డిఫాల్ట్ను మాత్రమే అనుమతిస్తుంది మరియు దానికి ECMP మద్దతు లేదని చెబుతుంది, కాబట్టి ఆ మార్గంలో లోడ్ పంచుకోలేరు. రూట్ ట్రాకింగ్, రివర్స్-పాత్ ధృవీకరణ మరియు కొన్ని ఇన్స్పెక్షన్ మరియు నిర్వహణ ప్రవాహాలకు సంబంధించిన పరిమితులను కూడా ఇది జాబితా చేస్తుంది. ఈ ఫీచర్ చుట్టూ రూపకల్పన చేయడానికి ముందు వాటిని మీ ఇన్స్టాల్ చేసిన రిలీజ్కు వ్యతిరేకంగా చదవండి. వాటిని విస్మరించే రూపకల్పన సాధారణంగా అన్నిచోట్లా కాదు, ఒక నిర్దిష్ట ప్రదేశంలో విఫలమవుతుంది, అందుకే లక్షణం మధ్యమధ్యలో వస్తున్నట్లు కనిపిస్తుంది.

అసమాన రూపకల్పనలలో కరుస్తుంది రివర్స్-పాత్ ధృవీకరణ. ASA ఆశించే ఇంటర్ఫేస్ కంటే వేరే ఇంటర్ఫేస్ ద్వారా సమాధానం వస్తే, రూటింగ్ ముఖ్యమయ్యే ముందే ప్యాకెట్ విస్మరించబడుతుంది. ధృవీకరణను ఆపివేసి తదుపరి హాప్ను బలవంతంగా విధించడం బదులు టోపోలజీ లేదా తిరిగి వచ్చే మార్గాన్ని సరిచేయండి.

రూట్ ట్రాకింగ్ వేరే ఉచ్చు: ట్రాక్ చేయబడిన వస్తువు సాధారణంగా సాధారణ డిఫాల్ట్ను కాపాడుతుంది, tunneled దాన్ని కాదు.

కీవర్డ్ ఏమి చేయదు

ASA IKE నిర్మించడానికి ఉపయోగించే మూల చిరునామాను ఇది ఎంచుకోదు. టన్నెల్ బయటి ముగింపు బిందువు ప్లాట్ఫారమ్ యొక్క సొంత ఇంటర్ఫేస్ మరియు మూల ఎంపికను అనుసరిస్తుంది, ఆ నిర్ణయంలో tunneled డిఫాల్ట్కు ఎలాంటి వాటా లేదు. దాన్ని మార్చడం తప్పు చిరునామా నుండి ప్రారంభమయ్యే phase 1ని సరిచేయదు.

తదుపరి హాప్ను ఇది ప్రాక్సీగా కూడా మార్చదు. గమ్యం HTTP CONNECT మార్పిడిని ఆశిస్తే, ప్రాక్సీ హోస్ట్కు ముడి IP ప్యాకెట్లను పంపడం వాటిని రూట్ చేయని హోస్ట్ను మాత్రమే ఇస్తుంది. బదులుగా క్లయింట్ మద్దతు ఇచ్చే ప్రాక్సీ విధానాన్ని కాన్ఫిగర్ చేయండి.

అలాగే ఇది కింది వైపు ఫార్వార్డింగ్ను సృష్టించదు. మీరు సూచించే గేట్వేకు ఇప్పటికీ VPN poolకి తిరిగి వెళ్లే రూట్ కావాలి, అలాగే రూపకల్పన కోరే చోట మూల అనువాదం కూడా కావాలి.

మార్గాన్ని మొదటి నుండి చివరి వరకు ధృవీకరించండి

రూట్ అమరిన తర్వాత, నాలుగు విషయాలను వరుసగా తనిఖీ చేయండి: poolకు అవసరమైన గమ్యానికి show route, కొత్త తదుపరి హాప్ వైపు ఇంటర్ఫేస్పై క్యాప్చర్, గేట్వేపైనే క్యాప్చర్, మరియు ఆ గేట్వే నుండి pool చిరునామాకు తిరిగి వెళ్లే మార్గం. మొదటి రెండు ASA ఆ మార్గాన్ని ఎంచుకుందని నిరూపిస్తాయి, చివరి రెండు అక్కడ ఎవరో సమాధానం ఇస్తున్నారని నిరూపిస్తాయి.

గేట్వే సమాధానం ఇచ్చినా క్లయింట్కు ఎప్పటికీ సమాధానం కనిపించకపోతే, రూటింగ్ పట్టికను మళ్లీ తాకడానికి ముందు మూల అనువాదం మరియు తిరిగి వచ్చే రూట్ను చూడండి.

మీరు ధృవీకరించిన రిలీజ్ను నమోదు చేయండి, ఎందుకంటే పరిమితుల జాబితా సంస్కరణను బట్టి ఉంటుంది మరియు ఒక ట్రైన్లో పనిచేసే రూపకల్పన మరొకదానిలో వేరే మార్గం కావాల్సి రావచ్చు. ఆ గమనిక కాన్ఫిగ్ స్నిప్పెట్ కంటే ఎక్కువ కాలం జీవిస్తుంది.