Cisco ASA’dan Azure VPN’e: Trafik seçicisinin önek çiftleri

Tünel açılıyor, IKE sağlıklı görünüyor ve içinden hiçbir şey geçmiyor. Bu, ASA’dan Azure’a giden bir seçici sorununun olağan biçimidir ve bu yüzden iki konsoldan birine dokunmadan önce sözleşmeyi yazarım. Sözleşme dört şeydir: her eşi tanımlayan nesneler, bağlantı modeli, kesin önek çiftleri ve her çifti kanıtlayan doğrulama. Burada hata yaparsanız, sonraki her komut inşa etmemeniz gereken bir yapılandırmada hata ayıklar. Bu runbook kullandığım sıradır; hangi nesnenin gerçekten yanlış olduğunu gösteren komutlarla birlikte.

Yapılandırmadan önce dört nesneyi yazın

ASA sürümü ve platformu, genel uç nokta, Azure VPN ağ geçidinin türü ve SKU’su ile sizin tarafınızı temsil eden yerel ağ geçidiyle başlayın. Bu dört ad, sonraki her şeyin sözlüğüdür ve bir şey bozulduğunda her birinin farklı bir sahibi vardır.

Bunlardan ikisi hâlâ tahminse durun. Yerel ağ geçidindeki yanlış önek listesi bir ayar sorunu değildir.

Tek bir bağlantı modeli seçin ve şablonları karıştırmayı bırakın

crypto map tasarımı ile tunnel interface tasarımı farklı yapılandırmalardır ve birinin şablonu, eş adresini düzenleyerek diğeri için geçerli hale gelmez. Bir şey yapıştırmadan önce hangisini kurduğunuzu kaydedin, çünkü uyumsuzluk sonra yapılandırma hatası olarak değil, seçici sorunu olarak ortaya çıkar. Microsoft’un ASA birlikte çalışabilirlik kılavuzu her iki deseni de kapsar ve her birinin hangi Azure ağ geçidi modelini varsaydığını belirtir. Notlarınız modeli adlandırmıyorsa henüz bir tasarımınız yok.

İlke tabanlı trafik seçicileri olan yol tabanlı bir Azure ağ geçidi, belirli ve belgelenmiş bir seçenektir, varsayılan değildir. Tasarımınız buna bağlıysa tasarım bunu söylemelidir, çünkü varsayılan yol tabanlı seçici modeli Azure tarafında farklı davranır.

Sürüm sınırları da sözleşmeye dahildir. Şifreleme alanlarındaki bir sınıra ilişkin eski saha raporu, belirli sürümler hakkında bir veri noktasıdır, her ASA’nın kalıcı özelliği değildir.

Toplullaştırmaları değil, önek çiftlerini listeleyin

Matrisi yazın. Yerel A ve B’den Azure X ve Y’ye dört çift vardır ve her biri ya kapsama ya da açık bir hariç tutma gerektirir. A ve B’yi tek bir toplulukta birleştirmek aralarında ne varsa onu da içerir ve tasarım böyle sessizce bir delik büyütür.

Eşlerin ne üzerinde anlaştığını kontrol edin, kaydettiğinizi değil. ASA’daki yerel ve uzak ağ listesi niyettir; CHILD SA’lar sonuçtur.

Bir çift eksikse düzeltme genellikle bir access-list satırı ya da seçici girdisidir, yeni bir tünel değildir.

Nesneyi adlandıran komutlarla doğrulayın

ASA’da IKE oturumunu, ardından IPsec SA’larını, ardından seçici çiftlerini doğrulayın. Her komut farklı bir soruyu yanıtlar ve yalnızca ilkini çalıştırmak «tünel açık» ifadesinin yanlış bir sonuca dönüşme yoludur. Listenin başında olan SA için değil, gerçekten yapılandırdığınız eş için çıktıyı okuyun. Azure tarafı da aynı üç soruyu kendi bakış açısından yanıtlar.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Ardından az network vpn-connection show --name <connection> --query connectionStatus ile Azure’a bağlantı durumunu sorun. Veri yolunda sıfır baytla «bağlı» olmak yönlendirme değil, seçici sorunudur.

Her çift için izin verilen bir akışı test edin, karşı tarafta görünen kaynak adresini inceleyin ve reddedilmesi gereken bir kaynağı deneyin. Sınırın hâlâ var olduğunu yalnızca o son test kanıtlar.

Şifreleme kapsamını erişim izninden ayrı tutun

Geniş bir seçici izin değildir. Desteklenen düzen uygulama ilkesinden daha genişse, dar hizmetleri firewall kurallarında tutun ve şifreleme kapsamını olması gereken yerde bırakın.

Azure iş yükü yolları ve yerel dönüş yolları ayrı ayrı incelenir. BGP duyuruları, statik ağ kapsamı ve kullanıcı tanımlı yollar aynı yolu tanımlamalıdır ve hiçbiri eş taşımasını özyinelemeli olarak yakalayamaz.

Geri alma ve işe yaradığının kanıtı

Seçicileri değiştirmeden önce önceki çalışan yapılandırmayı saklayın ve onu geri getiren tek komutu bilin. ASA’da bu, kaydedilmiş bir kopya ve buna uygun geri yükleme yolu demektir, neyi düzenlediğinize dair bir hatıra değil. Değişiklik hâlâ varsayımsalken geri yükleme komutunu değişiklik kaydına yazın. Ardından aynı üç kontrolü yeniden çalıştırın: IKE durumu, IPsec SA çiftleri, her çift için izin verilen bir akış.

Geri yüklemeden sonra bir çift hâlâ başarısız olursa, değişiklik neden değildi ve az önce kendinize ikinci bir kesinti tasarrufu yaptınız.