ASA packet-tracer bilan VPN oqimini qanday modellashtirish kerak

ASA dagi packet-tracer tor savolga javob beradi: bu paket shu yerga shu tuple bilan kirganda ruxsat etilarmidi va qayerga ketadi. U uzoq tomon biror narsa oladimi-yo'qmi, bunga javob bermaydi. Odatiy xato — tunnel ichida yuruvchi ilovani sinamoqchi bo'lganda tashqi IKE tuple kiritish. Avval tuple ni tuzating, fazalarni o'qing, so'ngra simulyator ko'ra olmaydigan hamma narsa uchun haqiqiy dalil to'plang.

Quyidagi yurish ACL, NAT qoidasi va tunnel-group konteksti oldingizda deb hisoblaydi. Ularsiz natija siz tekshira olmaydigan siyosatni tasvirlaydi.

1-qadam: ichki oqimni oddiy so'zlar bilan yozing

Biror narsa yozishdan oldin ilovani tasvirlang. Ichkidagi xost uzoq shlyuz orqasidagi serverga SSH ochsa, bu aniq manba portiga ega bitta ichki TCP oqimi. ACL va VPN filtri baholaydigan oqim shu, shuning uchun siz yozadigan oqim ham shu.

Uni bitta gap sifatida yozing, so'ngra maydonma-maydon tarjima qiling:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

2-qadam: kirish interfeysi va yo'nalishni tanlang

Kirish — paket keladigan interfeys, u chiqadigan interfeys emas. Ulanishni boshlayotgan LAN xosti uchun bu inside interfeysi. Xuddi shu sessiyaning qaytish paketi uchun bu outside interfeysi va tuple teskari aylanadi. Manzilni manba sifatida yozish ishonchli, ammo aloqasiz ALLOW olishning ikkinchi eng keng tarqalgan usuli.

Portlar ham yo'nalishga ega. Xizmat porti boshlangan so'rovda manzil maydonida, mijozning vaqtinchalik porti esa manba maydonida bo'ladi. TCP manzili 500 bo'lgan model 500 da tinglaydigan TCP ilovasini tasvirlaydi; buyruqda raqam ko'ringani uchun u IKE sinoviga aylanmaydi.

3-qadam: fazalarni tartib bilan o'qing

Natijadagi har bir faza egasi bor qaror: marshrut qidirish, ACL, NAT, so'ngra VPN yoki tunnel tanlovi. Ularni chop etilgan tartibda o'qing va loyihaga mos kelmaydigan birinchi fazada to'xtang.

NAT ko'pchilikni chalg'itadi. Agar tarjima qilingan manba tunnel uchun trafikni tanlaydigan crypto ACL dan tashqariga tushsa, oqim ruxsat etilishi mumkin va hech qachon inkapsulyatsiya qilinmaydi. Iz tarjima qilingan manzilni chop etadi, shuning uchun uni asl manzil bilan emas, tunnelning qiziqarli trafigi bilan solishtiring.

4-qadam: qaysi chetlab o'tishlarni tanlaganingizni tekshiring

detailed shakli tekshiruvlarni o'tkazib yuboradigan variantlarni oladi va Cisco ACL, VPN filtri, uRPF va IPsec soxtalashtirish tekshiruvlarini qamrab oluvchi bypass-checks variantini hujjatlashtiradi. Ular chetlab o'tilib olingan ALLOW marshrut va NAT ishlashini aytadi, siyosat haqiqiy paketni qabul qilishini emas. Variantlarni natija yoniga yozib qo'ying.

Agar siyosat javobi kerak bo'lsa, chetlab o'tishlarsiz ishga tushiring. Marshrutlash savolini ajratayotgan bo'lsangiz, ular bilan ishga tushiring va natijani marshrutlash javobi deb belgilang.

5-qadam: uzilishni haqiqiy almashinuv bilan yoping

Simulyatsiya qilingan ruxsat ASA da to'xtaydi. Uzoq shlyuz paketni shifrdan chiqardimi, server ulanishni qabul qildimi va javob qaytdimi — bular alohida kuzatishlar. Yakuniy nuqta hisoblagichlaridan foydalaning yoki tasdiqlangan yo'lda tor tutib olish.

Ba'zi trace va replay variantlari paket yuboradi yoki holatni saqlaydi. Har bir variantni faqat o'qish uchun qidiruv deb hisoblash o'rniga nashringiz va tasdiqlangan diagnostika protsedurangiz uchun hujjatlashtirilgan xatti-harakatga amal qiling.

Iz hali aytib bera olmaydigan narsa

Bitta eslatmada to'rt narsani saqlang: tuple, mos NAT qoidasi, oqimni olib o'tishi kerak bo'lgan tunnel yoki siyosat va yo'nalishga xos kuzatish. Ularsiz keyingi muhandis mahalliy siyosat qarorini o'rnatilgan boshqaruv tekisligidan va ishlayotgan xizmatdan ajrata olmaydi. Birinchi muvaffaqiyatsizlikdan keyingi muvaffaqiyat ham tunnel o'sha orada ko'tarilishi shart edi degan dalil emas; fazani va holat o'zgarishini yozing.

Ichki tuple dan boshlang, loyihaga zid birinchi fazada to'xtang va shundan keyingina yakuniy nuqta dalillariga murojaat qiling. Iz — siyosat orakuli, yetkazib berish kvitansiyasi emas.