Cisco ASA'da tunneled varsayılan rota: gerçekte ne zaman geçerli olur

Uzaktan erişim kullanıcısı ASA'nın ötesinde hiçbir yere ulaşamazken aynı sunucu iç LAN'dan gelen ping'lere yanıt verir. Tünel ayağa kalkar, istemci havuzdan bir adres alır ve paket yine de internet varsayılanı üzerinden çıkar ya da kaybolur. Bu örüntü genellikle şifresi çözülen trafiğin kendi rotasını bulamadığı ve olağan varsayılana düştüğü anlamına gelir. Düzeltme başka bir NAT kuralı değil; düzeltme tunneled varsayılan rotadır.

Yapılandırmadan değil, belirtiden başlayın

Paketin nereye gittiğine bakın, nereye gitmesini beklediğinize değil. Başarısız bir oturum sırasında dış arayüzde alınan yakalama, şifresi çözülen paketin havuz adresi hâlâ bozulmamışken ISP ağ geçidine doğru gittiğini gösterir ya da arama başarısız olduğu için hiçbir şey göstermez. Her iki durumda da sorun tünel değildir.

Tünel show vpn-sessiondb çıktısında sağlıklı görünür ve insanların IKE hata ayıklamaya devam etmesinin nedeni tam olarak budur.

Bunu ACL düşürmesinden ayıran şey yöndür. ACL düşürmesi günlüğe yazılır ve sayılır, oysa eksik bir rota eşleşen girdi olmadan arama hatası üretir. İstemcinin hedefi için show route çalıştırın ve ASA'nın gerçekte neyi seçtiğini okuyun; varsayılan bir rota seçildiyse hangisinin seçildiği de dahil.

Tunneled aramanın farkı

Cisco'nun ASA 9.23 statik yönlendirme kılavuzu statik ya da öğrenilmiş rotası olmayan şifresi çözülmüş VPN trafiği için ayrı bir varsayılan rota belgeler. tunneled anahtar sözcüğü bu rotayı işaretler, böylece şifresi çözülen paket ASA'nın kendi taşıması için kullandığından farklı bir sonraki atlama noktasına düşebilir. Daha belirgin rotalar hâlâ kazanır, bu yüzden bir istemci iç ağ geçidi üzerinden 10.0.0.0/8'e ulaşıp geri kalan her şeyi kaybedebilir.

Asgari düzen, farklı sonraki atlama noktalarına sahip iki varsayılan rota tutar. Biri ASA'nın kendi trafiğini, diğeri daha iyi rotası olmayan şifresi çözülmüş trafiği taşır. Her iki sonraki atlama noktası da bunları bağladığınız arayüzden hâlâ erişilebilir olmalıdır.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

İki varsayılan rota aynı sonraki atlama noktasını gösteriyorsa anahtar sözcük hiçbir şeyi değiştirmez ve belirti yerinden oynamaz.

Çalışıp çalışmayacağını belirleyen kısıtlamalar

Aynı kılavuz yalnızca bir tunneled varsayılan rotaya izin verir ve bunun için ECMP'nin desteklenmediğini belirtir, dolayısıyla o yolda yük paylaşımı yapamazsınız. Ayrıca rota izleme, ters yol doğrulaması ve bazı denetim ile yönetim akışlarıyla ilgili kısıtlamaları listeler. Özelliğin etrafında tasarım yapmadan önce bunları kurulu sürümünüze göre okuyun. Bunları yok sayan bir tasarım genellikle her yerde değil belirli bir noktada başarısız olur, bu yüzden belirti aralıklı görünür.

Asimetrik tasarımlarda ısıran şey ters yol doğrulamasıdır. Yanıt ASA'nın beklediğinden farklı bir arayüzden gelecekse paket, yönlendirme önem kazanmadan önce düşürülür. Doğrulamayı kapatıp bir sonraki atlama noktasını zorlamak yerine topolojiyi ya da dönüş yolunu düzeltin.

Rota izleme ayrı bir tuzaktır: izlenen nesne genellikle olağan varsayılan rotayı korur, tunneled olanı değil.

Anahtar sözcüğün yapmadığı şeyler

ASA'nın IKE kurmak için kullandığı kaynak adresi seçmez. Dış tünel uç noktası platformun kendi arayüz ve kaynak seçimini izler ve tunneled varsayılan rotanın bu kararda payı yoktur. Onu değiştirmek yanlış adresten başlayan bir phase 1'i onarmaz.

Sonraki atlama noktasını proxy'ye de çevirmez. Hedef bir HTTP CONNECT alışverişi bekliyorsa ham IP paketlerini bir proxy ana bilgisayarına göndermek size yalnızca onları yönlendirmeyen bir ana bilgisayar verir. Bunun yerine istemcinin desteklediği proxy mekanizmasını yapılandırın.

Ve aşağı yönde iletme oluşturmaz. İşaret ettiğiniz ağ geçidinin yine de VPN havuzuna dönüş rotasına, ayrıca tasarımın gerektirdiği yerde kaynak çevirisine ihtiyacı vardır.

Yolu uçtan uca doğrulayın

Rota yerine oturduktan sonra dört şeyi sırayla kontrol edin: havuzun ihtiyaç duyduğu bir hedef için show route, yeni sonraki atlama noktasına doğru arayüzde bir yakalama, ağ geçidinin kendisinde bir yakalama ve o ağ geçidinden havuz adresine dönüş yolu. İlk ikisi ASA'nın o yolu seçtiğini, son ikisi ise orada birinin yanıt verdiğini kanıtlar.

Ağ geçidi yanıt veriyor ama istemci hiç yanıt görmüyorsa, yönlendirme tablosuna yeniden dokunmadan önce kaynak çevirisine ve dönüş rotasına bakın.

Doğrulama yaptığınız sürümü not edin, çünkü kısıtlama listesi sürüme özgüdür ve bir hatta çalışan bir tasarım diğerinde farklı bir yol gerektirebilir. O not yapılandırma parçacığından daha uzun yaşar.