Cisco ASA میں tunneled ڈیفالٹ روٹ: یہ دراصل کب لاگو ہوتا ہے

ریموٹ رسائی کا صارف ASA کے پرے کسی چیز تک نہیں پہنچ پاتا جبکہ وہی سرور اندرونی LAN سے آنے والے ping کا جواب دیتا ہے۔ ٹنل اوپر آتا ہے، کلائنٹ کو pool سے پتہ ملتا ہے، اور پیکٹ پھر بھی انٹرنیٹ ڈیفالٹ سے باہر جاتا ہے یا غائب ہو جاتا ہے۔ یہ نمونہ عام طور پر بتاتا ہے کہ ڈکرپٹ شدہ ٹریفک کو اپنا روٹ نہیں ملا اور وہ عام ڈیفالٹ پر گر گئی۔ حل کوئی اور NAT اصول نہیں؛ حل tunneled ڈیفالٹ ہے۔

کنفگ سے نہیں، علامت سے شروع کریں

دیکھیں کہ پیکٹ کہاں جا رہا ہے، یہ نہیں کہ آپ کو کہاں جانے کی توقع تھی۔ ناکام سیشن کے دوران بیرونی انٹرفیس پر لی گئی کیپچر دکھاتی ہے کہ ڈکرپٹ شدہ پیکٹ pool کا پتہ ابھی برقرار رکھے ہوئے ISP گیٹ وے کی طرف جا رہا ہے، یا کچھ نہیں دکھاتی کیونکہ تلاش ناکام ہو گئی۔ دونوں صورتوں میں ٹنل مسئلہ نہیں۔

show vpn-sessiondb میں ٹنل صحت مند دکھائی دیتا ہے، اور اسی لیے لوگ IKE ڈیبگ کرتے رہتے ہیں۔

ACL ڈراپ سے اسے الگ کرنے والی چیز سمت ہے۔ ACL ڈراپ لاگ ہوتا ہے اور گنا جاتا ہے، جبکہ غائب روٹ بغیر کسی مماثل اندراج کے تلاش کی ناکامی پیدا کرتا ہے۔ کلائنٹ کی منزل کے لیے show route چلائیں اور پڑھیں کہ ASA نے واقعی کیا چنا، بشمول یہ کہ ڈیفالٹ چنا گیا یا نہیں اور کون سا۔

tunneled تلاش کیسے مختلف ہے

Cisco کا ASA 9.23 اسٹیٹک روٹنگ گائیڈ ڈکرپٹ شدہ VPN ٹریفک کے لیے الگ ڈیفالٹ درج کرتا ہے جس کا کوئی اسٹیٹک یا سیکھا ہوا روٹ نہیں ہوتا۔ tunneled کلیدی لفظ اس روٹ کو نشان زد کرتا ہے، اس لیے ڈکرپٹ شدہ پیکٹ ASA کے اپنے ٹرانسپورٹ کے لیے استعمال ہونے والے اگلے ہاپ سے مختلف ہاپ پر گر سکتا ہے۔ زیادہ مخصوص روٹ پھر بھی جیتتے ہیں، اسی لیے کلائنٹ اندرونی گیٹ وے سے 10.0.0.0/8 تک پہنچ سکتا ہے اور باقی سب کچھ کھو دیتا ہے۔

کم سے کم ترتیب الگ الگ اگلے ہاپس والے دو ڈیفالٹ رکھتی ہے۔ ایک ASA کی اپنی ٹریفک لے جاتا ہے، دوسرا بہتر روٹ کے بغیر ڈکرپٹ شدہ ٹریفک لے جاتا ہے۔ دونوں اگلے ہاپس اب بھی اس انٹرفیس سے قابل رسائی ہونے چاہئیں جس سے آپ انھیں جوڑتے ہیں۔

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

اگر دونوں ڈیفالٹ ایک ہی اگلے ہاپ کی طرف اشارہ کریں، تو کلیدی لفظ کچھ نہیں بدلتا اور علامت نہیں ہلے گی۔

وہ پابندیاں جو طے کرتی ہیں کہ یہ کام کرے گا یا نہیں

وہی گائیڈ صرف ایک tunneled ڈیفالٹ کی اجازت دیتی ہے اور کہتی ہے کہ اس کے لیے ECMP معاونت یافتہ نہیں، لہٰذا آپ اس راستے پر لوڈ شیئر نہیں کر سکتے۔ یہ روٹ ٹریکنگ، ریورس پاتھ تصدیق اور کچھ انسپیکشن و مینجمنٹ فلو سے متعلق پابندیاں بھی درج کرتی ہے۔ فیچر کے گرد ڈیزائن کرنے سے پہلے انھیں اپنی انسٹال شدہ ریلیز کے حوالے سے پڑھیں۔ انھیں نظر انداز کرنے والا ڈیزائن عام طور پر ہر جگہ نہیں بلکہ ایک مخصوص جگہ پر ناکام ہوتا ہے، اسی لیے علامت وقفے وقفے سے آتی دکھتی ہے۔

غیر متناسب ڈیزائنوں میں ریورس پاتھ تصدیق ہی سب سے زیادہ کاٹتی ہے۔ اگر جواب ASA کی متوقع انٹرفیس سے مختلف انٹرفیس سے آئے، تو پیکٹ روٹنگ کے اہم ہونے سے پہلے ہی گرا دیا جاتا ہے۔ تصدیق بند کر کے اگلا ہاپ مسلط کرنے کی بجائے ٹوپولوجی یا واپسی کا راستہ درست کریں۔

روٹ ٹریکنگ الگ جال ہے: ٹریک کی گئی آبجیکٹ عام طور پر عام ڈیفالٹ کی حفاظت کرتی ہے، tunneled کی نہیں۔

کلیدی لفظ کیا نہیں کرتا

یہ وہ ماخذ پتہ نہیں چنتا جو ASA IKE بنانے کے لیے استعمال کرتا ہے۔ بیرونی ٹنل اینڈ پوائنٹ پلیٹ فارم کی اپنی انٹرفیس اور ماخذ چناؤ کی پیروی کرتا ہے، اور tunneled ڈیفالٹ کا اس فیصلے میں کوئی حصہ نہیں۔ اسے بدلنا غلط پتے سے شروع ہونے والا phase 1 درست نہیں کرے گا۔

یہ اگلے ہاپ کو پراکسی بھی نہیں بناتا۔ اگر منزل HTTP CONNECT کے تبادلے کی توقع رکھتی ہے، تو پراکسی ہوسٹ کو خام IP پیکٹ بھیجنے سے آپ کو صرف ایسا ہوسٹ ملتا ہے جو انھیں روٹ نہیں کر رہا۔ اس کے بجائے وہ پراکسی طریقہ کار کنفگ کریں جو کلائنٹ معاونت کرتا ہے۔

اور یہ نیچے کی طرف فارورڈنگ پیدا نہیں کرتا۔ جس گیٹ وے کی طرف آپ اشارہ کرتے ہیں اسے اب بھی VPN pool کی طرف واپسی روٹ درکار ہے، نیز جہاں ڈیزائن تقاضا کرے وہاں ماخذ کی ترجمانی بھی۔

راستے کی ابتدا سے انتہا تک تصدیق کریں

روٹ لگ جانے کے بعد چار چیزیں ترتیب سے جانچیں: pool کو درکار منزل کے لیے show route، نئے اگلے ہاپ کی طرف انٹرفیس پر کیپچر، خود گیٹ وے پر کیپچر، اور اس گیٹ وے سے pool کے پتے تک واپسی کا راستہ۔ پہلے دو ثابت کرتے ہیں کہ ASA نے وہ راستہ چنا، اور آخری دو ثابت کرتے ہیں کہ وہاں کوئی جواب دے رہا ہے۔

اگر گیٹ وے جواب دیتا ہے مگر کلائنٹ کو کبھی جواب نظر نہیں آتا، تو روٹنگ ٹیبل کو دوبارہ چھونے سے پہلے ماخذ کی ترجمانی اور واپسی کا روٹ دیکھیں۔

جس ریلیز پر آپ نے تصدیق کی اسے درج کریں، کیونکہ پابندیوں کی فہرست ورژن کے مطابق ہوتی ہے اور ایک ٹرین پر کام کرنے والا ڈیزائن دوسری پر مختلف راستہ مانگ سکتا ہے۔ وہ نوٹ کنفگ اسنیپٹ سے زیادہ عرصہ زندہ رہتا ہے۔