Cisco ASA da tunneled standart marshruti: u qachon haqiqatan qo'llaniladi

Masofaviy kirish foydalanuvchisi ASA ortidan hech narsaga yeta olmaydi, holbuki o'sha server ichki LAN dan kelgan ping larga javob beradi. Tunnel ko'tariladi, mijoz pool dan manzil oladi, lekin paket baribir internet standart marshruti orqali chiqib ketadi yoki yo'qoladi. Bu holat odatda shifrlangan trafik o'z marshrutini topmaganini va oddiy standart marshrutga tushib qolganini bildiradi. Tuzatish yana bir NAT qoidasi emas; tuzatish — tunneled standart marshruti.

Konfiguratsiyadan emas, simptomdan boshlang

Paket qayerga ketayotganini kuzating, qayerga borishini kutganingizni emas. Muvaffaqiyatsiz sessiya paytida tashqi interfeysda olingan capture shifrlangan paketning pool manzili hali buzilmagan holda ISP gateway tomon ketayotganini ko'rsatadi yoki qidiruv muvaffaqiyatsiz bo'lgani uchun hech narsa ko'rsatmaydi. Ikkala holatda ham tunnel muammo emas.

show vpn-sessiondb da tunnel sog'lom ko'rinadi, shuning uchun odamlar IKE ni debug qilishda davom etadi.

Buni ACL bo'yicha tashlashdan ajratib turadigan narsa — yo'nalish. ACL bo'yicha tashlash jurnalga yoziladi va sanaladi, marshrut yo'qligi esa mos yozuvsiz qidiruv xatosini keltiradi. Mijoz manzili uchun show route ishga tushiring va ASA aslida nimani tanlaganini o'qing, jumladan standart marshrut tanlanganmi va qaysi biri.

tunneled qidiruvi nimasi bilan farq qiladi

Cisco ning ASA 9.23 statik marshrutlash qo'llanmasida statik yoki o'rganilgan marshruti bo'lmagan shifrlangan VPN trafigi uchun alohida standart marshrut hujjatlashtirilgan. tunneled kalit so'zi shu marshrutni belgilaydi, shuning uchun shifrlangan paket ASA o'z transporti uchun ishlatadigan keyingi hopdan boshqasiga tushishi mumkin. Aniqroq marshrutlar baribir yutadi, shu sababli mijoz ichki gateway orqali 10.0.0.0/8 ga yetib, qolgan hamma narsani yo'qotishi mumkin.

Minimal tartib keyingi hoplari har xil bo'lgan ikkita standart marshrutni saqlaydi. Biri ASA ning o'z trafigini, ikkinchisi yaxshiroq marshruti yo'q shifrlangan trafikni tashiydi. Ikkala keyingi hop ham siz ularni ulaydigan interfeysdan yetib borish imkoniyatiga ega bo'lishi kerak.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Agar ikkala standart marshrut ham bir xil keyingi hopga ishora qilsa, kalit so'z hech narsani o'zgartirmaydi va simptom ham siljimaydi.

Uning ishlashini hal qiladigan cheklovlar

O'sha qo'llanma faqat bitta tunneled standart marshrutga ruxsat beradi va buning uchun ECMP qo'llab-quvvatlanmasligini aytadi, shuning uchun bu yo'lda yukni taqsimlay olmaysiz. Unda marshrutlarni kuzatish, teskari yo'lni tekshirish va ayrim inspeksiya hamda boshqaruv oqimlariga oid cheklovlar ham sanab o'tilgan. Bu funksiya atrofida loyihalashdan oldin ularni o'rnatilgan release ingizga qiyoslab o'qing. Ularni e'tiborsiz qoldiradigan loyiha odatda hamma joyda emas, balki bitta aniq joyda ishlamay qoladi, shuning uchun simptom ora-sira paydo bo'ladigandek ko'rinadi.

Asimmetrik loyihalarda eng qattiq ta'sir qiladigani teskari yo'lni tekshirish. Agar javob ASA kutgan interfeysdan boshqa interfeys orqali keladigan bo'lsa, paket marshrutlash ahamiyat kasb etishidan oldin tashlab yuboriladi. Tekshiruvni o'chirib keyingi hopni majburlash o'rniga topologiyani yoki qaytish yo'lini tuzating.

Marshrutlarni kuzatish alohida tuzoq: kuzatiladigan obyekt odatda oddiy standart marshrutni qo'riqlaydi, tunneled ni emas.

Kalit so'z nima qilmaydi

U ASA IKE qurish uchun ishlatadigan manba manzilini tanlamaydi. Tashqi tunnel oxiri platformaning o'z interfeys va manba tanloviga ergashadi, tunneled standart marshrutining bu qarorda hech qanday hissasi yo'q. Uni o'zgartirish noto'g'ri manzildan boshlanadigan phase 1 ni tuzatmaydi.

U keyingi hopni proxy ga ham aylantirmaydi. Agar manzil HTTP CONNECT almashinuvini kutsa, proxy hostga xom IP paket yuborish sizga faqat ularni marshrutlamaydigan host beradi. Buning o'rniga mijoz qo'llab-quvvatlaydigan proxy mexanizmini sozlang.

Va u quyi tomonga yo'naltirishni yaratmaydi. Siz ishora qilayotgan gateway hali ham VPN pool tomon qaytish marshrutiga muhtoj, shuningdek loyiha talab qilgan joyda manba tarjimasi ham kerak.

Yo'lni boshidan oxirigacha tekshiring

Marshrut o'rnatilgach, to'rtta narsani ketma-ket tekshiring: pool ga kerak bo'lgan manzil uchun show route, yangi keyingi hop tomon interfeysda capture, gateway ning o'zida capture va o'sha gatewaydan pool manziliga qaytish yo'li. Birinchi ikkitasi ASA bu yo'lni tanlaganini, oxirgi ikkitasi esa u yerda kimdir javob berayotganini isbotlaydi.

Agar gateway javob bersa-yu, mijoz hech qachon javob ko'rmasa, marshrutlar jadvaliga yana tegishdan oldin manba tarjimasi va qaytish marshrutini ko'ring.

Tekshirgan release ingizni yozib qo'ying, chunki cheklovlar ro'yxati versiyaga bog'liq va bitta tarmoqda ishlaydigan loyiha boshqasida boshqa yo'l talab qilishi mumkin. Bu yozuv konfiguratsiya parchasidan uzoqroq yashaydi.