Cisco ASA’dan Azure VPN’gacha: trafik selektorining prefiks juftlari

Tunnel ko‘tariladi, IKE sog‘lom ko‘rinadi, lekin undan hech narsa o‘tmaydi. Bu ASA’dan Azure’gacha selektor muammosining odatiy shakli, shuning uchun ikkala konsolga tegishdan oldin shartnoma yozaman. Shartnoma to‘rt narsa: har bir peerni aniqlovchi obyektlar, ulanish modeli, aniq prefiks juftlari va har bir juftni isbotlovchi tekshiruv. Bu yerda xato qilsangiz, keyingi har bir buyruq siz qurmasligingiz kerak bo‘lgan konfiguratsiyani tuzatadi. Bu runbook mening ishlatadigan tartibim, qaysi obyekt haqiqatan noto‘g‘ri ekanini ko‘rsatuvchi buyruqlar bilan.

Konfiguratsiyadan oldin to‘rt obyektni yozib qo‘ying

ASA relizi va platformasi, ommaviy endpoint, Azure VPN shlyuzining turi va SKU hamda sizning tomoningizni ifodalovchi lokal tarmoq shlyuzidan boshlang. Bu to‘rt nom keyingi hamma narsaning lug‘ati, va biror narsa buzilganda har birining egasi boshqa.

Agar ulardan ikkitasi hali taxmin bo‘lsa, to‘xtang. Lokal tarmoq shlyuzidagi noto‘g‘ri prefiks ro‘yxati sozlash muammosi emas.

Bitta ulanish modelini tanlang va shablonlarni aralashtirishni bas qiling

crypto map dizayni va tunnel interface dizayni turli konfiguratsiyalar, va birining shabloni peer manzilini o‘zgartirish bilan ikkinchisiga yaroqli bo‘lmaydi. Biror narsa joylashdan oldin qaysinisini qurayotganingizni yozib qo‘ying, chunki nomuvofiqlik keyinchalik konfiguratsiya xatosi emas, selektor muammosi sifatida chiqadi. Microsoft’ning ASA interoperabellik qo‘llanmasi ikkala namunani qamrab oladi va har biri qaysi Azure shlyuz modelini nazarda tutishini aytadi. Agar yozuvlaringizda model nomi bo‘lmasa, hali dizayn yo‘q.

Siyosatga asoslangan trafik selektorlari bo‘lgan marshrutga asoslangan Azure shlyuzi aniq hujjatlashtirilgan variant, standart emas. Agar dizayningiz unga bog‘liq bo‘lsa, dizayn buni aytishi kerak, chunki standart marshrut selektori modeli Azure tomonida boshqacha ishlaydi.

Versiya cheklovlari ham shartnomaga kiradi. Shifrlash domenlari chegarasi haqidagi eski dala hisoboti muayyan relizlar haqidagi ma’lumot, har bir ASA’ning doimiy xossasi emas.

Agregatlarni emas, prefiks juftlarini sanang

Matritsani yozing. Lokal A va B dan Azure X va Y gacha to‘rt juft, va har biriga qamrov yoki aniq istisno kerak. A va B ni bitta agregatga birlashtirish ular orasidagi hamma narsani ham qo‘shadi, va shu bilan dizayn jimgina teshik o‘stiradi.

Siz saqlagan narsani emas, peerlar kelishgan narsani tekshiring. ASA’dagi lokal va masofaviy tarmoqlar ro‘yxati niyat; CHILD SA lar natija.

Juft yetishmasa, tuzatish odatda access-list satri yoki selektor yozuvi, yangi tunnel emas.

Obyektni nomlaydigan buyruqlar bilan tekshiring

ASA’da IKE sessiyasini, so‘ng IPsec SA larni, so‘ng selektor juftlarini tasdiqlang. Har bir buyruq boshqa savolga javob beradi, va faqat birinchisini ishga tushirish «tunnel ko‘tarilgan» degan xulosani yolg‘onga aylantiradi. Ro‘yxatda birinchi bo‘lgan SA uchun emas, siz haqiqatan konfiguratsiya qilgan peer uchun chiqishni o‘qing. Azure tomoni ham xuddi shu uch savolga o‘z nuqtai nazaridan javob beradi.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

So‘ng az network vpn-connection show --name <connection> --query connectionStatus bilan Azure’dan ulanish holatini so‘rang. Ma’lumot yo‘lida nol bayt bilan «ulangan» bo‘lish marshrutlash emas, selektor muammosi.

Har bir juft uchun bitta ruxsat etilgan oqimni sinab ko‘ring, narigi tomonda ko‘rinadigan manba manzilini tekshiring va rad etilishi kerak bo‘lgan bitta resursni sinang. Faqat o‘sha oxirgi sinov chegara hali borligini isbotlaydi.

Shifrlash doirasini kirish ruxsatidan alohida tuting

Keng selektor ruxsat emas. Agar qo‘llab-quvvatlanadigan tartib ilova siyosatidan kengroq bo‘lsa, tor xizmatlarni firewall qoidalarida qoldiring va shifrlash doirasini bo‘lishi kerak joyda qoldiring.

Azure ish yuki marshrutlari va lokal qaytish marshrutlari alohida ko‘rib chiqiladi. BGP e’lonlari, statik tarmoq doirasi va foydalanuvchi belgilagan marshrutlar bir xil yo‘lni tasvirlashi kerak, va ularning hech biri peer transportini rekursiv ushlab olmaydi.

Qaytarish va uning ishlaganligiga dalil

Selektorlarni o‘zgartirishdan oldin oldingi ishlab turgan konfiguratsiyani saqlang va uni qaytaradigan bitta buyruqni biling. ASA’da bu saqlangan nusxa va mos tiklanish yo‘li, nima tahrir qilganingiz haqidagi xotira emas. O‘zgarish hali gipotetik bo‘lganda tiklash buyrug‘ini o‘zgarish chiptasiga yozing. So‘ng o‘sha uchta tekshiruvni qayta ishga tushiring: IKE holati, IPsec SA juftlari, har bir juft uchun bitta ruxsat etilgan oqim.

Agar tiklashdan keyin ham juft ishlamasa, o‘zgarish sabab emas edi, va siz o‘zingizni ikkinchi uzilishdan saqlab qoldingiz.