Cisco ASA سے Azure VPN تک: ٹریفک سلیکٹر کے سابقہ جوڑے

ٹنل اوپر آتا ہے، IKE صحت مند لگتا ہے، اور اس میں سے کچھ نہیں گزرتا۔ یہ ASA سے Azure سلیکٹر مسئلے کی معمول کی شکل ہے، اور اسی لیے میں کسی بھی کنسول کو چھونے سے پہلے معاہدہ لکھتا ہوں۔ معاہدہ چار چیزیں ہیں: ہر پیئر کی شناخت کرنے والی اشیاء، کنکشن ماڈل، درست سابقہ جوڑے، اور ہر جوڑے کو ثابت کرنے والی تصدیق۔ یہاں غلطی کریں تو ہر اگلا حکم ایسی ترتیب کو ڈیبگ کرے گا جو آپ کو نہیں بنانی چاہیے تھی۔ یہ رن بک وہ ترتیب ہے جو میں استعمال کرتا ہوں، ان احکام کے ساتھ جو دکھاتے ہیں کہ کون سی شے واقعی غلط ہے۔

ترتیب دینے سے پہلے چار اشیاء لکھیں

ASA ریلیز اور پلیٹ فارم، عوامی اینڈ پوائنٹ، Azure VPN گیٹ وے کی قسم اور SKU، اور آپ کی جانب کی نمائندگی کرنے والے مقامی نیٹ ورک گیٹ وے سے شروع کریں۔ یہ چار نام آنے والی ہر چیز کی لغت ہیں، اور کچھ بگڑنے پر ہر ایک کا الگ ذمہ دار ہوتا ہے۔

اگر ان میں سے دو ابھی اندازے ہیں تو رک جائیں۔ مقامی نیٹ ورک گیٹ وے پر غلط سابقہ فہرست ٹیوننگ کا مسئلہ نہیں ہے۔

ایک کنکشن ماڈل منتخب کریں اور ٹیمپلیٹس ملانا بند کریں

crypto map ڈیزائن اور tunnel interface ڈیزائن مختلف ترتیبیں ہیں، اور ایک کا ٹیمپلیٹ پیئر کا پتہ بدل کر دوسرے کے لیے درست نہیں ہوتا۔ کچھ بھی پیسٹ کرنے سے پہلے لکھیں کہ کون سا بنا رہے ہیں، کیونکہ عدم مطابقت بعد میں ترتیب کی غلطی کے بجائے سلیکٹر مسئلے کے طور پر ظاہر ہوتی ہے۔ Microsoft کی ASA باہمی تعامل گائیڈ دونوں نمونوں پر محیط ہے اور بتاتی ہے کہ ہر ایک کون سا Azure گیٹ وے ماڈل فرض کرتا ہے۔ اگر آپ کے نوٹس ماڈل کا نام نہیں لیتے تو ابھی ڈیزائن نہیں ہے۔

پالیسی پر مبنی ٹریفک سلیکٹرز کے ساتھ روٹ پر مبنی Azure گیٹ وے ایک مخصوص دستاویزی اختیار ہے، ڈیفالٹ نہیں۔ اگر آپ کا ڈیزائن اس پر منحصر ہے تو ڈیزائن کو یہ کہنا چاہیے، کیونکہ ڈیفالٹ روٹ پر مبنی سلیکٹر ماڈل Azure کی جانب مختلف برتاؤ کرتا ہے۔

ورژن کی حدیں بھی معاہدے کا حصہ ہیں۔ انکرپشن ڈومینز کی حد کے بارے میں پرانی فیلڈ رپورٹ مخصوص ریلیز کے بارے میں ڈیٹا پوائنٹ ہے، ہر ASA کی مستقل خصوصیت نہیں۔

مجموعے نہیں، سابقہ جوڑے گنیں

میٹرکس لکھیں۔ مقامی A اور B سے Azure X اور Y تک چار جوڑے ہیں، اور ہر ایک کو احاطہ یا واضح استثنا چاہیے۔ A اور B کو ایک مجموعے میں جوڑنے سے ان کے درمیان جو کچھ ہے وہ بھی شامل ہو جاتا ہے، اور اسی طرح ڈیزائن خاموشی سے سوراخ بڑھاتا ہے۔

جو آپ نے محفوظ کیا وہ نہیں، بلکہ جو پیئرز نے طے کیا وہ دیکھیں۔ ASA پر مقامی اور دور دراز نیٹ ورک کی فہرست نیت ہے؛ CHILD SA نتیجہ ہیں۔

جب جوڑا غائب ہو تو اصلاح عام طور پر access-list کی سطر یا سلیکٹر اندراج ہوتی ہے، نیا ٹنل نہیں۔

شے کا نام لینے والے احکام سے تصدیق کریں

ASA پر IKE سیشن، پھر IPsec SA، پھر سلیکٹر جوڑوں کی تصدیق کریں۔ ہر حکم مختلف سوال کا جواب دیتا ہے، اور صرف پہلا چلانا ہی «ٹنل اوپر ہے» کو غلط نتیجہ بناتا ہے۔ فہرست میں پہلے آنے والے SA کے بجائے اس پیئر کے لیے آؤٹ پٹ پڑھیں جسے آپ نے واقعی ترتیب دیا۔ Azure کی جانب بھی انہی تین سوالوں کا اپنے نقطہ نظر سے جواب دیتی ہے۔

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

پھر az network vpn-connection show --name <connection> --query connectionStatus کے ساتھ Azure سے کنکشن کی حالت پوچھیں۔ ڈیٹا راستے میں صفر بائٹس کے ساتھ «منسلک» ہونا روٹنگ کا مسئلہ نہیں، سلیکٹر کا مسئلہ ہے۔

ہر جوڑے کے لیے ایک اجازت شدہ بہاؤ آزمائیں، دوسری جانب نظر آنے والا ماخذ پتہ دیکھیں، اور ایک ایسا وسیلہ آزمائیں جسے مسترد ہونا چاہیے۔ صرف وہی آخری آزمائش ثابت کرتی ہے کہ حد ابھی موجود ہے۔

انکرپشن دائرہ رسائی کی اجازت سے الگ رکھیں

وسیع سلیکٹر اجازت نہیں ہے۔ اگر معاون ترتیب ایپلیکیشن پالیسی سے زیادہ وسیع ہے تو تنگ خدمات firewall قواعد میں رکھیں اور انکرپشن دائرہ وہیں چھوڑ دیں جہاں اسے ہونا چاہیے۔

Azure ورک لوڈ راستے اور مقامی واپسی کے راستے الگ الگ جانچے جاتے ہیں۔ BGP اعلانات، جامد نیٹ ورک دائرہ اور صارف کی متعین راستے سب کو ایک ہی راستہ بیان کرنا ہوگا، اور ان میں سے کوئی بھی پیئر کی نقل و حمل کو بار بار نہیں پکڑ سکتا۔

واپسی اور اس بات کا ثبوت کہ یہ کام کر گیا

سلیکٹرز بدلنے سے پہلے پچھلی چلتی ترتیب محفوظ رکھیں، اور وہ ایک حکم جانیں جو اسے واپس لاتا ہے۔ ASA پر اس کا مطلب محفوظ نقل اور اس سے ملنے والا بحالی راستہ ہے، نہ کہ یہ یاد کہ آپ نے کیا ترمیم کیا۔ جب تبدیلی ابھی فرضی ہو تبھی بحالی کا حکم تبدیلی ٹکٹ میں لکھیں۔ پھر وہی تین جانچیں دوبارہ چلائیں: IKE حالت، IPsec SA جوڑے، ہر جوڑے کے لیے ایک اجازت شدہ بہاؤ۔

اگر بحالی کے بعد بھی جوڑا ناکام ہو تو تبدیلی سبب نہیں تھی، اور آپ نے ابھی دوسری رکاوٹ سے بچا لیا۔