ASA DHCP aktarmacılığı site-to-site VPN üzerinde: adım adım bir kılavuz

Aktarma üç ayakta çalışır ve VPN'i yalnızca orta ayak geçer. Bir istemci şube segmentinde yayın yapar, ASA bu yayını DHCP sunucusuna tek adresli bir istek hâline getirir ve sunucu istemciye değil aktarma adresine yanıt verir. Ayakları bu sırayla izleyin; «aktarma bozuk» vakalarının çoğu eksik bir ilkeye veya yanlış okunmuş bir setroute satırına iner.

Birinci ayak: aktarmayı istemciye bakan arayüzde etkinleştirin

Şube ASA'sında aktarma, istemcilere bakan arayüzün bir özelliğidir. Sunucu, erişilebilir arayüzüyle global olarak ya da yönlendirme tablosunun çıkışı seçmesi için o istemciye bakan arayüzün altında tanımlanabilir. Bu iki biçim birbirinin yerine geçmez ve yanlış olanı kopyalamak bir kılavuzun ilk savrulduğu yerdir.

Herhangi bir şeyi değiştirmeden önce çalışan yapılandırmayı denetleyin: hangi arayüzde aktarma etkin, hangi sunucu biçimi var ve setroute istemci arayüzüne bağlı mı. ASA başka bir segment için de DHCP sunucusu çalıştırıyorsa durun ve kısıtlama listesini okuyun; sunucu ve aktarma aynı kutuda birlikte etkinleştirilemez.

Aktarma, kendi istemciye bakan adresini ağ geçidi adresi alanına koyar. Sunucunun yanıtlayacağı adres odur, bu yüzden yalnızca yerel değil, tünel üzerinden uzak sahadan da erişilebilir olmalıdır.

İkinci ayak: ASA'nın ürettiği trafiği tünelden taşıyın

Bu, insanların atladığı adımdır. İlke tabanlı bir site-to-site VPN genellikle alt ağlar arasındaki trafik için kurulur ve aktarma isteğini ASA kendisi üretir. Tünelin erişim listesi ve kripto haritası yalnızca şube ana bilgisayarından sunucu alt ağına giden akışlarla eşleşiyorsa, aktarma paketi tünele hiç girmeyebilir. Erişim listesini iki yönde denetleyin, yalnızca şubeden sunucuya giden satırda değil.

İlgi çekici trafiğin ASA'nın aktarma kaynağını ve sunucu adresini kapsadığını ve dönüş yönünün de izinli olduğunu doğrulayın. VTI tabanlı bir tasarımda yönlendirme kararı daha basittir, ancak VTI üzerinden aktarma desteği belirli bir sürümde geldi; ASA'nın DHCP kılavuzu 9.14(1) sürümünü belirtir, bu yüzden bir VTI örneğini daha eski bir cihaza kopyalamadan önce imajı denetleyin.

ASA'dan sunucuya ping kendi başına pek bir şey kanıtlamaz. Farklı bir yoldan, farklı bir kaynak adresle veya aktarma paketlerinin uymadığı bir ilke altında başarılı olabilir.

Üçüncü ayak: yanıtı ve setroute seçeneğini okuyun

RFC 2131, o alan sıfır olmadığında sunucunun yanıtını giaddr alanındaki adrese gönderdiğini söyler. Dolayısıyla dönüş yolu aktarma adresine yönlendirilmelidir ve tünel ilkesi sunucudan aktarmaya giden yöne izin vermelidir. İstek geçti ama teklif hiç gelmediyse buraya bakılır.

Ardından benzer duyulan iki şeyi ayırın. setroute anahtar sözcüğü ASA'nın istemciye verdiği varsayılan yönlendirici seçeneğini değiştirir veya ekler. ASA üzerinde yol kurmaz ve VPN ilkesi oluşturmaz. Adres alıp hiçbir yere ulaşamayan istemcide çoğu zaman tünel değil setroute veya kapsam sorunu vardır. Bunu statik ağ geçidi olmayan bir istemciyle deneyin ve teklifte hangi varsayılan yönlendiricinin göründüğüne bakın.

Teklifi baştan sona okuyun: sunulan adres, maske, varsayılan yönlendirici, DNS ve kiralama süresi. Sonra kiralamanın yenilenmesine izin verin. Bir kez çalışıp yenilemede başarısız olan aktarma genellikle ilk takasın gizlediği kapsam, kiralama veya dönüş yolu sorununu taşır.

Düzeldi demeden önce neyi denetlerim

İstemciden başlayın ve yayını yakalayın, ardından ASA'nın onu kendi adresiyle giaddr olarak aktardığını doğrulayın. Uzak tarafta sunucunun bu isteği gördüğünü ve şubeye uyan bir kapsam seçtiğini doğrulayın. Şubeye dönünce istemcinin teklifi kabul ettiğini ve ağ geçidine ulaştığını doğrulayın.

Herhangi bir ayak sessizse, yeni bir aktarma ifadesi eklemek yerine ilgili ilkeyi veya yolu denetleyin. Biri konuyu yükselttiğinde aktarma yapılandırması genellikle zaten doğrudur; değişen tünel ilkesi veya dönüş yoludur.

Üç ayağı değişiklik kaydına yazın: istemciye bakan arayüz, aktarma trafiğini kapsayan VPN ilkesi ve sunucunun giaddr adresine dönüş yolu. O kayıt, sonraki şube kurulumunu hata ayıklama oturumu yerine yinelenebilir bir işe dönüştürür. Bir sonraki mühendise önce hangi komut çıktısının toplanacağını da söyler.