Paano magmodelo ng daloy ng VPN gamit ang ASA packet-tracer

Sinasagot ng packet-tracer sa isang ASA ang makitid na tanong: papayagan ba ang packet na ito, na pumapasok dito kasama ang tuple na ito, at saan ito pupunta. Hindi nito sinasagot kung may natatanggap ang malayong dulo. Ang karaniwang pagkakamali ay ang pagpapasok ng panlabas na IKE tuple kapag ang nais mong subukan ay ang application na tumatakbo sa loob ng tunnel. Ayusin muna ang tuple, basahin ang mga yugto, at pagkatapos ay kumuha ng tunay na ebidensya para sa lahat ng hindi nakikita ng simulator.

Ipinapalagay ng paglalakad sa ibaba na ang ACL, patakaran ng NAT at konteksto ng tunnel-group ay nasa harap mo. Kung wala ang mga ito, inilalarawan ng output ang patakarang hindi mo masuri.

Hakbang 1: isulat ang panloob na daloy sa simpleng salita

Ilarawan ang application bago mag-type ng anuman. Ang host sa loob na nagbubukas ng SSH patungo sa server sa likod ng malayong gateway ay isang panloob na TCP na daloy na may tiyak na source port. Iyon ang daloy na sinusuri ng ACL at filter ng VPN, kaya iyon ang daloy na ini-type mo.

Isulat ito bilang isang pangungusap, pagkatapos ay isalin ito field by field:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Hakbang 2: piliin ang ingress at ang direksyon

Ang ingress ay ang interface kung saan dumarating ang packet, hindi ang iniiwanan nito. Para sa host ng LAN na nag-uumpisa, ito ang interface na inside. Para sa packet ng pagbabalik ng parehong session, ito ang interface na outside, at bumabaligtad ang tuple. Ang pag-type sa destinasyon bilang pinagmulan ay ang ikalawang pinakakaraniwang paraan upang makakuha ng nakakumbinsing ngunit walang kaugnayang ALLOW.

May direksyon din ang mga port. Ang port ng serbisyo ay nasa field ng destinasyon para sa sinimulang kahilingan, at ang ephemeral na port ng client ay nasa field ng pinagmulan. Ang modelong may destinasyong TCP 500 ay naglalarawan ng application na TCP na nakikinig sa 500; hindi ito nagiging pagsubok ng IKE dahil lang lumitaw ang numero sa utos.

Hakbang 3: basahin ang mga yugto sa pagkakasunod-sunod

Ang bawat yugto sa output ay isang desisyong may may-ari: paghahanap ng ruta, ACL, NAT, pagkatapos ay pagpili ng VPN o tunnel. Basahin ang mga ito sa nakalimbag na pagkakasunod-sunod at huminto sa unang yugto na hindi sumasang-ayon sa disenyo.

Madalas mahuli ng NAT ang mga tao. Kung ang isinaling pinagmulan ay nahuhulog sa labas ng crypto ACL na pumipili ng trapiko para sa tunnel, maaaring payagan ang daloy at hindi kailanman ma-encapsulate. Ini-print ng trace ang isinaling address, kaya ihambing ito sa kawili-wiling trapiko ng tunnel at hindi sa orihinal na address.

Hakbang 4: suriin kung aling mga pag-iwas ang pinili mo

Tumatanggap ang form na detailed ng mga opsyon na lumalaktaw sa mga pagsusuri, at idinodokumento ng Cisco ang opsyon na bypass-checks na sumasaklaw sa ACL, filter ng VPN, uRPF at mga pagsusuri ng spoofing ng IPsec. Ang ALLOW na nakuha nang nilaktawan ang mga iyon ay nagsasabi na gagana ang ruta at NAT, hindi na tatanggapin ng patakaran ang isang tunay na packet. Itala ang mga opsyon sa tabi ng resulta.

Kung kailangan mo ang sagot ng patakaran, patakbuhin ito nang walang mga pag-iwas. Kung inihihiwalay mo ang isang tanong sa routing, patakbuhin ito kasama ang mga iyon at lagyan ng label ang resulta bilang sagot sa routing.

Hakbang 5: isara ang agwat gamit ang tunay na palitan

Ang simulate na pahintulot ay hihinto sa ASA. Kung na-decrypt ng malayong gateway ang packet, kung tinanggap ng server ang koneksyon at kung may bumalik na sagot ay magkakahiwalay na obserbasyon. Gumamit ng mga counter ng endpoint o isang makitid na pagkuha sa isang aprubadong landas.

Ang ilang opsyon ng trace at replay ay nagpapadala ng mga packet o nag-iingat ng estado. Sundin ang dokumentadong pag-uugali para sa iyong release at sa iyong aprubadong diagnostic na pamamaraan sa halip na ituring ang bawat variant bilang read-only na paghahanap.

Ano ang hindi pa rin masasabi sa iyo ng trace

Panatilihin ang apat na bagay sa isang tala: ang tuple, ang tugmang patakaran ng NAT, ang tunnel o patakarang dapat magdala ng daloy, at ang obserbasyong partikular sa direksyon. Kung wala ang mga ito, hindi maihihiwalay ng susunod na inhinyero ang lokal na desisyon sa patakaran mula sa establisadong control plane at mula sa gumaganang serbisyo. Ang unang kabiguan na sinusundan ng tagumpay ay hindi rin patunay na kailangang umangat ang tunnel sa pagitan; itala ang yugto at ang pagbabago ng estado.

Magsimula sa panloob na tuple, huminto sa unang yugtong sumasalungat sa disenyo, at pagkatapos lamang ay humingi ng ebidensya ng endpoint. Ang trace ay isang orakulo ng patakaran, hindi isang resibo ng paghahatid.