ASA packet-tracer తో VPN ప్రవాహాన్ని ఎలా మోడల్ చేయాలి

ASA పై packet-tracer ఒక సన్నని ప్రశ్నకు సమాధానమిస్తుంది: ఈ ప్యాకెట్, ఇక్కడ ఈ tuple తో ప్రవేశించినప్పుడు, అనుమతించబడుతుందా, అది ఎక్కడికి వెళ్తుంది। దూరపు చివర ఏదైనా స్వీకరిస్తుందా అని అది సమాధానమివ్వదు। సాధారణ పొరపాటు, సొరంగం లోపల ప్రయాణించే అప్లికేషన్ను పరీక్షించాలనుకున్నప్పుడు బయటి IKE tuple ఇవ్వడం। మొదట tuple సరిచేయండి, దశలను చదవండి, ఆపై సిమ్యులేటర్ చూడలేని అన్నింటికీ నిజమైన సాక్ష్యం సేకరించండి।

క్రింది నడక ACL, NAT నియమం మరియు tunnel-group సందర్భం మీ ముందు ఉన్నాయని ఊహిస్తుంది। అవి లేకుండా అవుట్పుట్ మీరు తనిఖీ చేయలేని విధానాన్ని వివరిస్తుంది।

దశ 1: లోపలి ప్రవాహాన్ని సరళమైన మాటల్లో రాయండి

ఏదైనా టైప్ చేయడానికి ముందు అప్లికేషన్ను వివరించండి। లోపలి హోస్ట్ దూర గేట్వే వెనుక ఉన్న సర్వర్కు SSH తెరిచినప్పుడు, అది నిర్దిష్ట మూల పోర్ట్తో ఒక లోపలి TCP ప్రవాహం। ACL మరియు VPN ఫిల్టర్ మూల్యాంకనం చేసేది ఆ ప్రవాహమే, కాబట్టి మీరు టైప్ చేసేది కూడా ఆ ప్రవాహమే।

దాన్ని ఒక వాక్యంగా రాయండి, ఆపై క్షేత్రం వారీగా అనువదించండి:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

దశ 2: ఇన్గ్రెస్ మరియు దిశను ఎంచుకోండి

ఇన్గ్రెస్ అనేది ప్యాకెట్ వచ్చే ఇంటర్ఫేస్, అది నిష్క్రమించే ఇంటర్ఫేస్ కాదు। ప్రారంభించే LAN హోస్ట్కు అది inside ఇంటర్ఫేస్। అదే సెషన్ యొక్క తిరిగి వచ్చే ప్యాకెట్కు అది outside ఇంటర్ఫేస్, మరియు tuple తిరగబడుతుంది। గమ్యాన్ని మూలంగా రాయడం నమ్మదగిన కానీ అసంబద్ధమైన ALLOW పొందడానికి రెండవ అత్యంత సాధారణ మార్గం।

పోర్టులకు కూడా దిశ ఉంటుంది। ప్రారంభించిన అభ్యర్థనలో సేవా పోర్ట్ గమ్య క్షేత్రంలో ఉంటుంది, మరియు క్లయింట్ యొక్క తాత్కాలిక పోర్ట్ మూల క్షేత్రంలో ఉంటుంది। TCP గమ్యం 500 ఉన్న మోడల్ 500 పై వినిపించే TCP అప్లికేషన్ను వివరిస్తుంది; ఆదేశంలో సంఖ్య కనిపించినందున అది IKE పరీక్షగా మారదు।

దశ 3: దశలను క్రమంగా చదవండి

అవుట్పుట్లోని ప్రతి దశ యజమాని ఉన్న నిర్ణయం: మార్గ అన్వేషణ, ACL, NAT, ఆపై VPN లేదా సొరంగ ఎంపిక। వాటిని ముద్రిత క్రమంలో చదివి, రూపకల్పనతో పొసగని మొదటి దశలో ఆపండి।

NAT ప్రజలను దారి తప్పిస్తుంది। అనువదించిన మూలం సొరంగం కోసం ట్రాఫిక్ను ఎంచుకునే crypto ACL వెలుపల పడితే, ప్రవాహం అనుమతించబడవచ్చు మరియు ఎప్పటికీ ఎన్క్యాప్సులేట్ కాకపోవచ్చు। ట్రేస్ అనువదించిన చిరునామాను ముద్రిస్తుంది, కాబట్టి దాన్ని అసలు చిరునామాతో కాదు, సొరంగం యొక్క ఆసక్తికరమైన ట్రాఫిక్తో పోల్చండి।

దశ 4: మీరు ఎంచుకున్న బైపాస్లను తనిఖీ చేయండి

detailed రూపం తనిఖీలను దాటవేసే ఎంపికలను తీసుకుంటుంది, మరియు Cisco ACL, VPN ఫిల్టర్, uRPF మరియు IPsec స్పూఫ్ తనిఖీలను కవర్ చేసే bypass-checks ఎంపికను డాక్యుమెంట్ చేస్తుంది। వాటిని దాటవేసి పొందిన ALLOW మార్గం మరియు NAT పని చేస్తాయని చెబుతుంది, విధానం నిజమైన ప్యాకెట్ను అంగీకరిస్తుందని కాదు। ఫలితం పక్కన ఎంపికలను నమోదు చేయండి।

మీకు విధాన సమాధానం కావాలంటే బైపాస్లు లేకుండా అమలు చేయండి। మీరు రూటింగ్ ప్రశ్నను వేరుచేస్తుంటే వాటితో అమలు చేసి ఫలితాన్ని రూటింగ్ సమాధానంగా లేబుల్ చేయండి।

దశ 5: నిజమైన మార్పిడితో అంతరాన్ని మూసివేయండి

అనుకరణ అనుమతి ASA వద్ద ఆగుతుంది। దూర గేట్వే ప్యాకెట్ను డీక్రిప్ట్ చేసిందా, సర్వర్ కనెక్షన్ను అంగీకరించిందా, మరియు సమాధానం తిరిగి వచ్చిందా అనేవి వేర్వేరు పరిశీలనలు। ఎండ్పాయింట్ కౌంటర్లను ఉపయోగించండి లేదా ఆమోదించిన మార్గంలో ఒక సన్నని క్యాప్చర్।

కొన్ని trace మరియు replay ఎంపికలు ప్యాకెట్లను పంపుతాయి లేదా స్థితిని నిలుపుతాయి। ప్రతి రూపాంతరాన్ని చదవడం-మాత్రమే శోధనగా పరిగణించడం బదులు మీ విడుదల మరియు ఆమోదించిన నిర్ధారణ ప్రక్రియ కోసం డాక్యుమెంట్ చేసిన ప్రవర్తనను అనుసరించండి।

ట్రేస్ ఇంకా మీకు చెప్పలేనిది

ఒక నోట్లో నాలుగు విషయాలు ఉంచండి: tuple, సరిపోయే NAT నియమం, ప్రవాహాన్ని మోయవలసిన సొరంగం లేదా విధానం, మరియు దిశకు నిర్దిష్టమైన పరిశీలన। అవి లేకుండా తరువాతి ఇంజనీర్ స్థానిక విధాన నిర్ణయాన్ని స్థాపిత నియంత్రణ తలం నుండి మరియు పని చేస్తున్న సేవ నుండి వేరు చేయలేరు। మొదటి వైఫల్యం తర్వాత వచ్చే విజయం సొరంగం మధ్యలో ఎగబాకాల్సి ఉందని రుజువు కాదు; దశను మరియు స్థితి మార్పును నమోదు చేయండి।

లోపలి tuple తో ప్రారంభించండి, రూపకల్పనకు విరుద్ధమైన మొదటి దశలో ఆపండి, ఆపైనే ఎండ్పాయింట్ సాక్ష్యం వైపు వెళ్లండి। ట్రేస్ విధానం యొక్క ఒరాకిల్, డెలివరీ రసీదు కాదు।